AI-00164-2022

1/6  Expediente N.º: EXP202200434 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Doña A.A.A., con fecha 26 de noviembre de 2021, presentó una consulta ante la Agencia Española de Protección de Datos. La consulta se refiere a la actuación de la entidad OXIMESA, S.L., con NIF B18014134. Los motivos en que basa la consulta son los siguientes: OXIMESA, S.L, ha comunicado a sus trabajadores que el sistema de geolocalización que estaba utilizando va a sustituirse por la implantación de un sistema de localización y gestión por GPS en el vehículo de todos los trabajadores que realicen el servicio con independencia que este sea de empresa o vehículo propio. En la hoja informativa facilitada a los trabajadores se indica que los datos obtenidos por el sistema de geolocalización se cederán a terceros como proveedores de comunicaciones electrónicas, ofimática, hosting, housing, mantenimiento informático, gestoría, contabilidad, auditoría, asesoría y representación legal, encargándose Mobildata internacional S.L.U. Los trabajadores ya están siendo geolocalizados a través de los teléfonos de empresa y este tratamiento se seguirá efectuando. Junto a la notificación se aporta: - Hoja informativa sobre el nuevo sistema de geolocalización facilitada a los trabajadores. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a OXIMESA, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 24 de enero de 2022, como consta en el acuse de recibo que obra en el expediente. Con fecha 7 de febrero de 2022 se recibe en esta Agencia escrito de respuesta indicando el Delegado de Protección de Datos lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 OXIMESA ha empezado a instalar en los vehículos un dispositivo de a bordo. Además, en el teléfono móvil de empresa de aquellos empleados sujetos a la geolocalización se instala una aplicación para conectar y desconectar el dispositivo instalado en el vehículo. TERCERO: Tras la admisión a trámite, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 24 de abril de 2022 se realizó una solicitud de información a OXIMESA. Con fecha 18 de mayo de 2022, tuvo entrada en la sede electrónica de la AEPD la contestación de la que se desprende lo siguiente: Finalidad del sistema de geolocalización La finalidad del tratamiento de datos de trabajadores obtenidos a través del sistema de geolocalización es el control de los empleados de la parte reclamada que tienen asignadas las tareas de atención domiciliaria. Descripción del sistema de geolocalización - El sistema de geolocalización está previsto para los trabajadores que se desplazan a los domicilios de los pacientes que reciben terapias respiratorias y que precisan de la atención prestada por la empresa. - Los dispositivos de geolocalización se instalan en los vehículos que utilizan durante la jornada laboral para realizar dichos desplazamientos, vehículos que pueden ser propios o de empresa. - La no operatividad fuera de la jornada laboral se garantiza a través de la App de funcionamiento MFLETT, instalada en la PDA de trabajo (smartphone) de cada trabajador y vinculada al dispositivo de geolocalización. Esta App está disponible en la Play Store de los smartphones y en la App el trabajador dispone de un botón que permite conmutar entre los modos público y privado. Cuando se selecciona el modo privado, el dispositivo no geolocaliza la posición del vehículo. Los trabajadores deben activar el modo público al inicio de la jornada y activar el modo privado al finalizar la misma. - La empresa dispone de dos tipos de dispositivos diferentes, en función de si el vehículo es titularidad de la Parte reclamada o del trabajador:   C/ Jorge Juan, 6 28001 – Madrid Dispositivo tipo “OBD” (Modelo MD-22) para los vehículos de empresa. Dispositivo de tipo “mechero”, que se puede poner y quitar de manera instantánea, para los vehículos particulares. www.aepd.es sedeagpd.gob.es 3/6 Este dispositivo permite su desconexión física de la toma de corriente del mechero del vehículo y así desactivarse por completo. Esta manera alternativa de desconexión es adicional a la que se ofrece a través de la App mediante el modo “uso privado”. Datos que se recaban Los datos de los trabajadores que se recaban a través del sistema de geolocalización son los siguientes: - Datos identificativos del trabajador. Datos de geolocalización, concretamente: Localización de ubicación por GPS del terminal asociado a la cartografía vectorial digital. Recorridos realizados, incluyendo paradas, tanto representadas sobre la cartografía vectorial digital como en informes en los que se indiquen direcciones de origen, destino, inicio y final de trayecto, kilómetros recorridos estimados, duración del trayecto y tiempo de parada aproximado a la llegada a destino. Hora de arranque del vehículo, hora de aparcamiento del mismo. Evaluación de la necesidad y proporcionalidad de las operaciones del tratamiento OXIMESA indica que la evaluación de la necesidad y proporcionalidad se aporta en la Evaluación de Impacto de la Protección de Datos, EIPD, concretamente a partir de la página 5, y, a continuación, se reproduce su contenido: Apartado 2.7 de la EIPD: Justificación de la necesidad del tratamiento: Si no se tratasen los datos del empleado, relativos a su identificación (nombre y apellidos), asociados al vehículo con el que trabaja, no sería posible llevar a cabo el tratamiento a través del sistema de localización del ENCARGADO DEL TRATAMIENTO, no siendo posible controlar la geolocalización. Justificación de que el tratamiento es proporcional: No se tratan más datos de los estrictamente necesarios para desarrollar la actividad de manera efectiva. Evaluación de Impacto relativa a la Protección de Datos (EIPD) presentada: OXIMESA ha elaborado la EIPD haciendo uso del aplicativo que pone a disposición en su página web la Autoridad Catalana de Protección de Datos. En el apartado 2.6 Riesgos para las personas el impacto estimado de las amenazas identificadas: “Acceso a datos por terceros no autorizados o ajenos al servicio” y “Cruce de datos”, es ALTO. En el apartado 4.1 Riesgos en la Seguridad de los Datos. Impacto se indica que el “Impacto que la pérdida de la confidencialidad de los datos (es decir, de un acceso no autorizado a los datos) tiene sobre las personas” y el “Impacto que la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 pérdida de la integridad de los datos (es decir, de la modificación no autorizada de los datos) tiene sobre las personas” es BAJO. Asimismo, la justificación de la evaluación del impacto que se incluye en este apartado es la que sigue: Impacto que la pérdida de la confidencialidad de los datos (es decir, de un acceso no autorizado a los datos) tiene sobre las personas. Impacto: BAJO Justificación: En el caso de producirse una pérdida de confidencialidad de los datos recogidos por el sistema de localización del encargado del tratamiento, esto únicamente afectaría a datos identificativos del empleado de OXIMESA, es decir, nombre y apellidos y su asociación a la matrícula del vehículo y datos de localización. Por todo ello, el impacto es bajo. Impacto que la pérdida de la integridad de los datos (es decir, de la modificación no autorizada de los datos) tiene sobre las personas. Impacto: BAJO Justificación: (…). Por todo ello, el impacto sobre las personas es bajo. Impacto que la pérdida de la disponibilidad de los datos tiene sobre las personas. Impacto: (…) Justificación: (…). Transferencia internacional de datos OXIMESA indica que en esta actividad de geolocalización no se realiza transferencia internacional de datos, porque el encargado se encuentra ubicado en el espacio económico europeo. En la EIPD se recoge que Según manifiesta el proveedor, no se comparten datos con terceros países donde el RGPD no aplica. Estado de implantación del sistema OXIMESA informa que el día 22 de noviembre de 2021 se realizaron las primeras 4 instalaciones y que, a fecha 9 de mayo de 2022 se encuentran instalados un total de 175 dispositivos, quedando pendiente la instalación de 11 unidades adicionales correspondiente a personal que se encuentra de baja. De los 175 dispositivos instalados, 48 de ellos corresponden a vehículos de empresa y el resto, 127, a vehículos propios. CUARTO: En fecha 28 de julio de 2022, la parte reclamante presenta escrito indicando que desiste de la consulta realizada y que solicita el archivo de las actuaciones ya que considera que no ha habido incumplimiento por parte de la empresa en la que trabaja. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a), f) y h) del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Desistimiento La AEPD inicio actuaciones a fin de comprobar los hechos puestos de manifiesto en la consulta, pero dado que la consultante ha desistido de la consulta, procede la finalización de las actuaciones y su archivo Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a Doña A.A.A. y OXIMESA, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es