AI-00203-2024

(3), los trabajadores tienen canales puestos a su disposición para hacer llegar a la Dirección de la empresa cualquier duda, consulta o comentario que tengan en relación con la gestión de su relación laboral, sin que hasta la fecha la Dirección haya recibido ningún comentario en este sentido. No obstante, a este respecto ha de indicarse que WINGS solo tiene constancia de los comentarios, de carácter informal, sobre el nuevo sistema de fichaje implantado que el Comité de Empresa realizó a la Dirección de la Empresa. A raíz de dichos comentarios, la Empresa procedió a revisar el sistema y detectó que la herramienta capturaba imágenes durante el proceso de fichaje. Como se ha indicado en el apartado anterior, la empresa no tenía constancia de dicha funcionalidad del sistema de fichaje y, tan pronto se detectó el error, solicitó al proveedor que desactivara esa función de la herramienta, pues en ningún caso es necesaria para el registro de jornada. Además, las imágenes que se habían capturado hasta ese momento fueron eliminadas por el proveedor ***EMPRESA.1, sin perjuicio de que, en cualquier caso, se habrían eliminado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/14 en el plazo de 30 días desde su captura. Nos remitimos al documento aportado como n.º 6, emitido por el proveedor ***EMPRESA.1 en el que se confirma lo anterior. Por tanto, a día de hoy, el sistema de fichaje actual de WINGS no captura ni graba imágenes y la empresa, como responsable de tratamiento, no ha vuelto a recibir ninguna queja ni comentario al respecto por parte de los trabajadores ni de su representación legal. Sistema de fichaje WINGS describe el nuevo sistema de fichaje implantado y su funcionamiento: - Dispositivos habilitados para el fichaje y ubicación de cada uno de ellos. El sistema de registro de jornada implantado está compuesto por un total de 4 dispositivos habilitados para el fichaje en forma de tabletas electrónicas, modelo Samsung Galaxy T ab A7, con unas dimensiones de 7 pulgadas. Dichos dispositivos se encuentran en las siguientes ubicaciones: o Sala descanso edificio ***EDIFICIO.1: El dispositivo ubicado en esta sala es una tableta fija colocada en un soporte fijo en la pared. Como prueba de ello se acompaña como documento n.º 1 varias fotografías de la ubicación del dispositivo. o Oficina de Jefatura de Turno Rampa. Al igual que ocurría con el punto n.º 1, en dicha sala también se encuentra ubicado un dispositivo para realizar el registro de la jornada consistente en una tableta situado en un soporte fijo en la pared. Se acompaña como prueba de ello el documento n.º

1. o Oficina de Supervisión de Patio. En este caso, se trata de una tableta en un soporte semifijo. La colocación del dispositivo de forma semifija se debe a que se trata de una instalación provisional por las obras que se están realizando en el aeropuerto y que llevan a que nuestro actual emplazamiento sea provisional (nótese que la actividad principal de la sociedad responsable del tratamiento es la de handling, por lo que el centro de trabajo está situado en el aeropuerto de ***LOCALIDAD.1). Finalizadas las obras, el dispositivo será ubicado de manera definitiva en las mismas condiciones definidas para los anteriores. Se acompaña como prueba de ello el documento n.º
2. o Sala de reunión y formación. Edificio terminal. El cuarto dispositivo de fichaje, en tanto se encuentra en una zona multiusos, es entregado en mano por parte de los instructores encargados de impartir la formación a aquellos alumnos que, por su horario de trabajo, lo requieran. Se acompaña como documento n.º 4 fotografías como prueba de ello. En relación con la ubicación de los tres primeros dispositivos, debe aclararse que todos están colocados en un soporte a 45 grados, orientados hacia arriba, para limitar lo máximo posible la visualización de la pantalla por parte de cualquier persona que no se encuentre delante de ella. Sin perjuicio de lo anterior, como puede observarse en los documentos gráficos aportados (documentos 1 a 3), las tabletas no son de gran tamaño, por lo que la información contenida y que pueda introducir en las mismas tampoco lo es. Además, el propio trabajador que realiza el fichaje actúa de pantalla respecto al resto de los trabajadores que puedan encontrarse también en la sala, no C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/14 siendo lo habitual que otro trabajador se encuentre justo al lado del que esté realizando el fichaje (salvo que este último lo permita). Por lo tanto, la información contenida o que se introduzca en la tableta no resulta accesible a cualquier persona que se encuentre en las salas donde se ubican los dispositivos de fichaje. En cuanto al cuarto dispositivo (ubicado en la sala de formación del departamento de formación), este no está colocado en ningún soporte, por lo que puede moverse fácilmente por el trabajador que vaya a hacer uso del mismo, no estando expuesta la información que aparezca en la tableta frente a terceros no autorizados. Además, el personal de la empresa que presta servicio en oficina dispone de acceso directo a la plataforma ***EMPRESA.1 a través de su equipo de trabajo (ordenador), por lo que las tabletas electrónicas a las que se hacía referencia más arriba no son utilizadas por esta parte del personal. - Funcionamiento de los dispositivos. Se aporta como documento n.º 5, “DHR-INS-004

(1)- Fichaje+en+***EMPRESA.1”, la guía de uso del sistema de fichaje. En lo que al funcionamiento de las tabletas se refiere, las tabletas se encuentran encendidas y disponibles para el trabajador durante toda la jornada de trabajo. En caso de que la tableta se apague, reinicie o tenga alguna incidencia, el responsable del turno del área donde se encuentre la tableta afectada deberá acceder a la aplicación ***EMPRESA.1 introduciendo un usuario y contraseña previamente generados que ponen a la aplicación en “modo fichaje”. Como aclaración, el inicio de la sesión en este modo solo permite acceder a la pantalla de fichaje, no estando accesible ninguna otra funcionalidad o aplicación de las instaladas en la tableta. Para el registro de la jornada o fichaje diario de las personas trabajadoras, WINGS ha habilitado dos posibilidades, que se describen a continuación:  Mediante un código QR que es leído por la tableta en la que el trabajador ficha, recordemos sin que la misma realice ninguna captura o grabación de éste. Esto es, al acercar el trabajador el código QR a la tableta, la misma solo realiza una lectura de dicho código, lo que permite al trabajador identificarse y que quede registrado su horario de entrada o salida en la empresa. Se adjunta como documento n.º 6 la certificación del proveedor ***EMPRESA.1 en la que se confirma lo anterior (Titulado Certificado ***EMPRESA.1 WINGS 29.10) Los trabajadores tienen acceso a dicho código QR, i) bien porque, en el momento de la implantación del sistema de fichaje, su jefe de turno o supervisor de zona les haya hecho entrega de su código QR en formato papel; ii) bien porque lo hayan descargado de la propia aplicación ***EMPRESA.1 (cada trabajador puede conseguir una copia digital de su código QR en su perfil de ***EMPRESA.1). Así queda explicado en el documento “DHR-INS-001

(1)-Fichaje en ***EMPRESA.1”, que se aporta como documento n.º 7.  C/ Jorge Juan, 6 28001 – Madrid Por otro lado, como método alternativo y secundario, para aquellos trabajadores que no dispongan del código QR, por haberlo olvidado, por www.aepd.es sedeaepd.gob.es 6/14 no tenerlo a mano, etc., la aplicación de ***EMPRESA.1 también permite realizar el registro de jornada o fichaje mediante la introducción del DNI/NIE de la persona trabajadora, como método supletorio con respecto al código QR. A estos efectos, ha de recalcarse, al igual que ocurría con el código QR, que en caso de que el trabajador elija esta opción de fichaje (la introducción de su DNI/NIE), la aplicación de ***EMPRESA.1 tampoco capta ni graba ninguna imagen. Como prueba de ello, nos remitimos a lo dispuesto a estos efectos en el documento aportado como n.º 6. Por tanto, a la vista de lo anterior, el fichaje de la jornada de trabajo debe realizarse, como norma general, mediante la lectura de un código QR asignado a cada trabajador y, solo en caso de que no se cuente con el mismo, a través de la introducción en la pantalla de la tableta del DNI/NIE de la persona trabajadora, sin que en ninguna de las dos opciones se capten o graben imágenes. En cuanto a los criterios para el almacenamiento de la información captada, debe remarcarse que, al no capturarse o grabarse imágenes, estas tampoco son almacenadas. No obstante, la información relativa a los fichajes de las personas trabajadoras se conserva durante la relación laboral con la persona trabajadora o, en cualquier caso, durante un plazo máximo de cinco años, de conformidad con los plazos de conservación legalmente establecidos en materia laboral, con el fin de asegurar su disponibilidad para la atención de reclamaciones y/o posteriores responsabilidades administrativas o judiciales. Dicha información está almacenada en los servidores con los que el proveedor de la aplicación ***EMPRESA.1 cuenta dentro de la Unión Europea. Para más detalle a este respecto, nos remitimos al documento n.º 6, donde el proveedor explica esta cuestión. En el escrito de respuesta de la entrada REGAGE24e00091962768, WINGS añade: con n.º de registro La Tablet cuenta con una cámara, pero esta no está activada en ningún momento del fichaje, ni tampoco cuando el dispositivo se encuentra en modo reposo. Como indicamos en la contestación al primer requerimiento de fecha 1 de octubre de 2024, esto es así porque el proveedor de ***EMPRESA.1 desactivó esta opción siguiendo las instrucciones de WINGS en agosto de 2024. En este sentido, cabe señalar que la opción de activar o desactivar la cámara solo puede ser configurada por el proveedor de la aplicación a instrucción de la Dirección de WINGS. Ningún trabajador de la empresa puede cambiar la configuración de los dispositivos. - Información que exhiben las pantallas de los dispositivos. En las pantallas de los dispositivos habilitados para el fichaje, con independencia del sistema de fichaje empleado, durante el fichaje puede visualizarse: C/ Jorge Juan, 6 28001 – Madrid  Fecha y hora del fichaje.  Zona donde está instalada la Tablet.  Un apartado para introducir los dígitos del DNI/NIE. www.aepd.es sedeaepd.gob.es 7/14 Como aclaración, cabe señalar que en caso de que se utilice el código QR, el DNI se introduce automáticamente (mediante la lectura del código QR), es decir, el trabajador no tiene que introducir su DNI/NIE, pues este ya está vinculado a su código QR. Sin embargo, en ambos casos, el DNI completo es visible durante un período de tiempo inferior a un segundo. Una vez procesado el fichaje, aparecerá en pantalla un mensaje de confirmación del registro, por tiempo inferior a un segundo, que indica:  El nombre y apellidos del trabajador;  Y la duración en horas, minutos y segundos del turno del trabajo efectuado. En el documento n.º 9 de la entrada con n.º de registro REGAGE24e00082605529 puede observarse la información que aparece en los dispositivos. WINGS aclara que la “Zona donde está instalada la Tablet” que se visualiza durante el fichaje no se trata de una imagen o grabación de la zona o estancia donde se encuentra el trabajador, sino del nombre que recibe cada zona concreta, es decir, lo que aparece en la pantalla de la Tablet durante el fichaje es el nombre de la zona donde se encuentra el dispositivo (i.e., “Serv. Oficina”, “Serv. Pista”, “Serv. Patio”). Se aporta como documento n.º 2 de la entrada con n.º de registro REGAGE24e00091962768 una serie de fotografías de la Tablet que completan esta explicación. En el escrito de respuesta de la entrada con n.º de registro REGAGE24e00091962768, WINGS explica cómo se llevaba a cabo la captura de imágenes desde el 1 de abril de 2024 hasta el 14 de agosto de 2024: Antes de que el proveedor ***EMPRESA.1 procediera a desactivar la cámara de los dispositivos (14 de agosto de 2024), la captura de imágenes tenía lugar en el momento en que el trabajador realizaba el fichaje, es decir, al introducir su DNI/NIE en el teclado de la Tablet. Como aclaración, es importante señalar que la captura de imágenes sólo se realizaba con esta opción de fichaje, por lo que, en caso de que los trabajadores utilizaran su código QR para registrar su jornada, la cámara del dispositivo no capturaba ninguna imagen. En cualquier caso, nótese que la imagen capturada tenía formato imagen (no vídeo) y solo capturaba el momento exacto de validación del DNI/NIE por el trabajador. No resulta posible adjuntar prueba del tipo de imágenes que se capturaban porque estas eran eliminadas cada 30 días. Se aporta como documento n.º 1 el certificado del proveedor de la aplicación ***EMPRESA.1 de fecha 4 de diciembre de 2024 en el que se explica lo anterior: La captura de imágenes se efectuaba mediante una cámara integrada en la Tablet cuando el trabajador introducía el código de su DNI/NIE en el teclado de la Tablet. La imagen se capturaba en el mismo momento de terminar de pulsar dicho código y consistía en una instantánea de la persona trabajadora que estuviera delante de la Tablet. La cámara estaba apagada hasta el momento en el que se empezaba a escribir el código. Solo se encendía para capturar una imagen al terminar de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/14 poner el último dígito del NIE/DNI. Las imágenes no se podían visualizar en remoto desde otro dispositivo. El criterio (de almacenamiento) que se utilizó es el de una foto por fichaje. Las fotos se guardaban durante 30 días. (…) todos los datos y ficheros de ***EMPRESA.1 están alojados en servidores de ***EMPRESA.2 en la siguiente dirección: ***DIRECCIÓN.1. (…) El documento n.º 1 incluye una captura de la pantalla donde se configura la “Zona”. Cuando se realiza un fichaje, se registra en ***EMPRESA.1 la Zona en la que se ha fichado, es decir, la zona en la que la empresa ha ubicado el dispositivo de fichaje (Tablet). Eso significa que el fichaje queda vinculado a esa Zona. En la pantalla del dispositivo aparece, en texto, el nombre de la zona donde está ubicada la Tablet y no se visualiza ninguna imagen de dicha zona. El documento n.º 1 incluye dos capturas de pantalla que reflejan cómo queda registrada la “zona” en ***EMPRESA.1. Actualmente, la cámara está apagada 1 y no se activa, por lo que no capta ninguna imagen de la zona donde está ubicada. El trabajador no puede visualizarse y tampoco puede visualizarse desde otro dispositivo ni en tiempo real ni en diferido porque la cámara está apagada. En el escrito de respuesta de la entrada con n.º de registro REGAGE25e00004519338, WINGS aclara: la tableta siempre está encendida, así como su cámara, y hasta agosto de 2024 solo se activaba para

1. i)leer el código QR presentado por los trabajadores (sin capturar imagen alguna) y
2. ii)capturar una imagen de los trabajadores que realizaran su fichaje mediante la introducción de su DNI/NIE (la imagen se capturaba en el momento en el que el trabajador pulsara el botón “enviar”). En la actualidad la cámara solo se activa para el caso del fichaje mediante QR (para la lectura de dicho código), sin que capture ninguna imagen. En el mismo escrito, WINGS aporta las fotografías que muestran el contenido que, actualmente, se visualiza en los dispositivos de fichaje antes de que la persona trabajadora elija la opción de fichaje mediante la introducción del DNI/NIE. Asimismo, en el escrito de respuesta de la entrada con el mismo n. º de registro WINGS explica: 1 En el escrito de respuesta de la entrada con n.º de registro REGAGE25e00004519338, WINGS aclara: la tableta siempre está encendida, así como su cámara, (…). En la actualidad la cámara solo se activa para el caso del fichaje mediante QR (para la lectura de dicho código), sin que capture ninguna imagen. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/14 La cámara integrada en la tableta estaba encendida (como parte del dispositivo, que siempre está encendido, aunque a veces se encuentre en modo “reposo”), pero no capturaba imágenes, ya fuera en forma de vídeo o fotografía, aunque en la pantalla de la tableta pudiera verse a la persona que estuviera delante de la tableta realizando el fichaje. Conforme a lo indicado, la imagen reflejada en la pantalla de la tableta no podía verse en remoto desde ningún otro dispositivo, entre otras cosas, porque la tableta no capturaba ningún vídeo ni fotografía. Es decir, aunque la tableta mostrara en la pantalla la imagen del trabajador que estuviera realizando el fichaje, dicha imagen no se estaba capturando. Tan solo única y exclusivamente en el momento de pulsar el botón “enviar” en la opción de registrar la jornada con el DNI/NIE, la cámara se activaba para capturar una fotografía del trabajador que se encontrara delante de la tableta en ese momento realizando el fichaje. […] Ha de indicarse que la tableta siempre está en modo “reposo”, mostrando en la pantalla el teclado para introducir el DNI/NIE por parte del trabajador. Es decir, no hay una pantalla previa donde se elija la opción de fichaje que se quiera utilizar, ya que, en caso de que los trabajadores quieran utilizar el código QR para registrar su jornada, solo tienen que acercar dicho código a la cámara que, en ese momento, se activará al reconocerlo para su lectura. Asimismo, como puede apreciarse en las mismas (fotografías aportadas) en la pantalla no aparece ninguna imagen junto al teclado digital. Por lo tanto, con independencia de la opción de fichaje que el trabajador vaya a elegir, en la pantalla no se puede visualizar ninguna imagen. Y en el momento del fichaje, sea cual sea la opción elegida, no se captura ni se muestra ninguna imagen. En el escrito de respuesta de la entrada con n.º de registro REGAGE24e00091962768, WINGS explica quién tenía acceso a las imágenes capturadas desde el 1 de abril de 2024 hasta el 14 de agosto de 2024: Durante el período de tiempo en el que los dispositivos de fichaje capturaban imágenes, ni los empleados ni la propia Dirección de WINGS podían acceder a las mismas. Como se indicó en el escrito de contestación al requerimiento de fecha 1 de octubre de 2024, desde WINGS se desconocía que los dispositivos de fichaje capturaran imágenes. Por lo tanto, tampoco conocían la forma de acceder a las mismas. Asimismo, caber destacar que la opción de la aplicación que habría permitido acceder a dichas imágenes ha estado desde el momento de la implementación del sistema desactivada. Así lo explica el proveedor de la aplicación en el apartado 4 de su certificado de fecha 4 de diciembre de 2024 (documento n.º 1 de la entrada con n.º de registro REGAGE24e00091962768). En concreto, para poder haber accedido a las imágenes capturadas tendría que haber estado activado el permiso número 40 de la aplicación, lo que no era el caso en WINGS. Datos personales tratados por el sistema WINGS identifica los datos personales que son tratados por el sistema de registro de jornada: - Nombre y apellidos de la persona trabajadora; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/14 - Fecha y hora del fichaje; - Duración de la jornada realizada en horas, minutos y segundos; - Zona del centro de trabajo desde la que se realiza el fichaje; - DNI/NIE de la persona trabajadora; - En su caso, código QR. Asimismo, los datos personales de las personas trabajadoras que han sido registrados en la aplicación ***EMPRESA.1 para llevar a cabo el registro de jornada laboral se conservan durante la vigencia de la relación laboral de cada trabajador o, en cualquier caso, durante un plazo máximo de 5 años, para dar cumplimiento a los plazos de conservación legalmente establecidos en materia laboral. Nótese que los datos personales de tipo identificativo (i.e., nombre y apellidos de la persona trabajadora, DNI/NIE, etc.) son necesarios durante toda la vigencia de la relación laboral, de ahí que se conserven durante más tiempo para el cumplimiento de la finalidad del tratamiento. Dicha vigencia podrá ser inferior, igual o superior al periodo máximo de 5 años anteriormente citado. No obstante, los datos estrictamente relacionados con el fichaje (i.e., fecha y hora del fichaje, duración de la jornada, etc.) se eliminarán tras el transcurso de dicho plazo. Medidas de seguridad En el escrito de respuesta de la entrada con n.º de registro REGAGE24e00082605529, WINGS describe cómo se recaban los datos y las medidas que tiene implantadas para evitar accesos autorizados: (…) En el documento n.º 6 de la entrada con n.º de registro REGAGE24e00082605529, en el punto OCTAVO se definen los perfiles de las personas que pueden acceder a la herramienta: (…) En el punto NOVENO del mismo documento, documento n.º 6, el proveedor de la aplicación ***EMPRESA.1 certifica las medidas de seguridad implementadas en la aplicación: (…) FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
3. f)y
4. h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/14 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Seguridad del tratamiento El artículo 32 del RGPD estipula lo siguiente: "1. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable y el encargado del tratamiento aplicarán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros:
5. a)la seudonimización y el cifrado de datos personales;
6. b)la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
7. c)la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico;
8. d)un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. 2. Al evaluar la adecuación del nivel de seguridad se tendrán particularmente en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. 3. La adhesión a un código de conducta aprobado a tenor del artículo 40 o a un mecanismo de certificación aprobado a tenor del artículo 42 podrá servir de elemento para demostrar el cumplimiento de los requisitos establecidos en el apartado 1 del presente artículo. 4. El responsable y el encargado del tratamiento tomarán medidas para garantizar que cualquier persona que actúe bajo la autoridad del responsable o del encargado y tenga acceso a datos personales solo pueda tratar dichos datos siguiendo instrucciones del responsable, salvo que esté obligada a ello en virtud del Derecho de la Unión o de los Estados miembros." III Integridad y confidencialidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/14 La letra
9. f)del artículo 5.1 del RGPD propugna: "1. Los datos personales serán: (…)
10. f)tratados de tal manera que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas («integridad y confidencialidad»)." IV Conclusión De las actuaciones de investigación se desprende que, en fecha 1 de abril de 2024, WINGS pone en funcionamiento una herramienta de fichaje y control horario que tiene habilitadas dos posibilidades, por un lado, mediante un código QR que es leído por la tableta en la que el trabajador ficha y, por otro lado, como método alternativo, mediante la introducción del DNI/NIE de la persona trabajadora en la tableta. WINGS manifiesta que, en agosto de 2024, a raíz de comentarios informales que el Comité de empresa realiza a la Dirección de la empresa sobre el nuevo sistema de fichaje, revisa la herramienta y detecta que erróneamente está configurada para capturar imágenes en el momento del fichaje. WINGS señala que la captura de imágenes referida no era necesaria para la gestión del registro horario y que no se estaba haciendo ningún tratamiento de estos datos. En consecuencia, solicita al proveedor de la herramienta que desactive la opción de captura de imágenes y en fecha 14 de agosto de 2024 se lleva a cabo la modificación. WINGS añade que no ha vuelto a recibir ninguna queja ni comentario relativo al sistema de fichaje actual por parte de los trabajadores ni de su representación legal. WINGS explica que, desde el 1 de abril de 2024 hasta el 14 de agosto de 2024, antes de que el proveedor procediera a desactivar la cámara de los dispositivos, la captura de imágenes se efectuaba mediante una cámara integrada en el dispositivo cuando el trabajador que realizaba el fichaje introducía el número de su DNI/NIE en el teclado del dispositivo. En caso de que los trabajadores utilizaran su código QR para registrar su jornada, la cámara del dispositivo no capturaba ninguna imagen. La aplicación estaba configurada para tomar una imagen por fichaje que se almacenaba por un período de 30 días en servidores de ***EMPRESA.2, donde se alojan todos los datos y ficheros de la aplicación de control horario ***EMPRESA.1. Tras dicho período las imágenes eran eliminadas. Asimismo, WINGS aclara que las imágenes, una vez capturadas, no podían visualizarse, en ningún caso, en otro dispositivo y tampoco en tiempo real, eran imágenes en formato de fotografía, no vídeo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/14 En cuanto al acceso a las imágenes capturadas, el proveedor de la aplicación ***EMPRESA.1 certifica que personaliza la aplicación a voluntad del cliente y que WINGS siempre ha tenido desactivado el permiso para acceder a las imágenes capturadas por el dispositivo de fichaje. Luego, durante el período de tiempo en el que los dispositivos de fichaje capturaron imágenes, WINGS no podía acceder a las mismas, que, a su vez, desconocía que los dispositivos de fichaje capturaban imágenes. El proveedor de la aplicación certifica que su personal no tiene acceso directo a los datos y que tan solo el perfil ***PUESTO.1 de ***EMPRESA.1 está autorizado a acceder a la gestión de la aplicación ***EMPRESA.1 de WINGS y siempre por razones de mantenimiento de la propia aplicación. WINGS describe que el sistema de registro de jornada está compuesto por cuatro dispositivos habilitados para el fichaje en forma de tabletas electrónicas con unas dimensiones de 7 pulgadas. Tres dispositivos están colocados en un soporte a 45 grados, orientados hacia arriba, para limitar lo máximo posible la visualización de la pantalla por parte de cualquier persona que no se encuentre delante de ella. El cuarto dispositivo de fichaje es entregado en mano por parte de los instructores encargados de impartir la formación a aquellos alumnos que, por su horario de trabajo, lo requieran. Asimismo, en el cuerpo del presente informe se han identificado los datos personales que son tratados por el sistema de registro de la jornada laboral basado en la lectura de un código QR y/o introducción del DNI/NIE del trabajador y se han descrito las medidas de seguridad implantadas. Además, cuando la empresa tuvo conocimiento, a raíz de los comentarios del Comité de empresa, de que el sistema estaba configurado erróneamente para tomar fotografías, actuó con diligencia solicitando al proveedor la inmediata desactivación de dicha opción, que quedó corregida en agosto de 2024, garantizando así la proporcionalidad en el tratamiento de datos. En este sentido, la reacción rápida de la empresa para corregir la configuración errónea, evidencian que no hubo intención de utilizar datos de forma desproporcionada, sino un error técnico que fue subsanado en cuanto se detectó. A mayor abundamiento, no consta que las fotografías tomadas durante el período en que estuvo activada esa funcionalidad fuesen accedidas por la entidad responsable ni utilizadas con ninguna finalidad. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/14 Así pues, al no haber sido posible atribuir la responsabilidad por el tratamiento de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a WINGS HANDLING PALMA, S.L. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez sea firme en vía administrativa. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
11. c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-120525 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es