1/8 Expediente N.º: EXP202408491 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 5 de junio de 2024, se presentó reclamación ante la Agencia Española de Protección de Datos contra LITERA MEAT, S.L. con NIF B22414874 (en adelante, LITERA MEAT). Los motivos en que basa la reclamación son los siguientes: LITERA MEAT habría instalado a principios de febrero de 2024 un sistema de reconocimiento facial y dactilar para el control de la jornada laboral de sus trabajadores, realizándose, previamente, el fichaje con tarjetas. Adjunta a su solicitud vídeo con grabación de la entrada. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a LITERA MEAT, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. Con fecha 24/07/2024 LITERA MEAT dio respuesta al traslado. En su escrito alega que los hechos ya fueron objeto de un expediente anterior (EXP202406272) que fue archivado. Afirma que “Actualmente el registro de jornada en LITERA MEAT S.L. se realiza mediante tarjeta identificativa y solo en algunas zonas de producción, y de forma proporcional, se sigue utilizando el registro mediante huella dactilar” Informa que la actividad de la empresa es la elaboración de productos cárnicos, por lo que debe cumplir con estrictos estándares de seguridad alimentaria. Añade que, como indicó en el expediente referido, se encuentra en proceso de cambio de su sistema de registro a nivel global, pero, debido al tamaño de la empresa y a dificultades técnicas, el proceso está avanzando más lentamente de lo previsto. TERCERO: Con fecha 5 de septiembre de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/8 conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Como antecedente, se deja constancia de que la implantación del citado sistema de control por parte de LITERA MEAT ya había sido objeto de reclamación, con fecha 8 de abril de 2024, ante esta Agencia, dando lugar al expediente EXP202406272. En respuesta al traslado de aquella reclamación, LITERA MEAT informó que efectivamente había optado a finales del año 2022 por realizar la autenticación de la identidad de los trabajadores y el registro de jornada laboral mediante huella dactilar, sistema considerado más preciso y fiable para evitar el fraude. Además, afirmaba que la identificación biométrica contribuye a la seguridad de las instalaciones. Informó asimismo que, no obstante, había iniciado los trámites para sustituir el sistema de registro con datos biométricos por un sistema de tarjeta, había realizado una propuesta al comité de empresa inicialmente rechazada y que se estaban valorando diferentes alternativas. En base a la información trasladada por LITERA MEAT, la reclamación fue inadmitida a trámite con fecha 27 de mayo 2024, por entender esta Agencia que ésta había sido atendida. Para obtener más información sobre la situación actual, se requirió información adicional sobre el estado del sistema de registro. Con fecha 19 de noviembre de 2024 LITERA MEAT informa de que el cambio del sistema de registro de jornada laboral mediante huella dactilar a tarjeta identificativa se ha implantado en las zonas de oficina, mantenimiento, lavandería y laboratorio, siendo 182 el número de trabajadores que actualmente utiliza tarjetas identificativas. El sistema de registro de jornada laboral mediante huella dactilar se sigue utilizando en la zona de producción cárnica por aproximadamente 1.508 trabajadores que acceden a esta área crítica. En cuanto a la justificación para el mantenimiento de un sistema de registro biométrico para el acceso a la zona de producción cárnica de la empresa, mencionan los argumentos incluidos en el análisis realizado por la empresa. En concreto, en dicha zona la empresa debe cumplir con estándares estrictos de sanidad y los trabajadores precisan la utilización de equipos de protección especiales que les cubren completamente. En ese contexto, en 2021, momento en el que la empresa tenía un sistema de identificación con tarjeta, (…). Analizados los riesgos que la suplantación de identidad suponía tanto en el ámbito laboral como en el de la salud, se han evaluado otras alternativas para el control de acceso, concluyendo que no suponen una alternativa equivalente al sistema biométrico. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/8 FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a),
- f)y
- h)del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Tratamiento de categorías especiales de datos personales El artículo 9 del RGPD, que regula el tratamiento de categorías especiales de datos personales, establece lo siguiente: "1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
- a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;
- b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/8
- c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
- d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
- e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
- f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
- g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
- h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
- i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional;
- j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/8 3. Los datos personales a que se refiere el apartado 1 podrán tratarse a los fines citados en el apartado 2, letra h), cuando su tratamiento sea realizado por un profesional sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes. 4. Los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos genéticos, datos biométricos o datos relativos a la salud." III Evaluación de impacto relativa a la protección de datos La evaluación de impacto relativa a la protección de datos se regula en el artículo 35 del RGPD en los siguientes términos: "1. Cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento realizará, antes del tratamiento, una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales. Una única evaluación podrá abordar una serie de operaciones de tratamiento similares que entrañen altos riesgos similares. 2. El responsable del tratamiento recabará el asesoramiento del delegado de protección de datos, si ha sido nombrado, al realizar la evaluación de impacto relativa a la protección de datos. 3. La evaluación de impacto relativa a la protección de los datos a que se refiere el apartado 1 se requerirá en particular en caso de:
- a)evaluación sistemática y exhaustiva de aspectos personales de personas físicas que se base en un tratamiento automatizado, como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas físicas o que les afecten significativamente de modo similar;
- b)tratamiento a gran escala de las categorías especiales de datos a que se refiere el artículo 9, apartado 1, o de los datos personales relativos a condenas e infracciones penales a que se refiere el artículo 10, o
- c)observación sistemática a gran escala de una zona de acceso público. 4. La autoridad de control establecerá y publicará una lista de los tipos de operaciones de tratamiento que requieran una evaluación de impacto relativa a la protección de datos de conformidad con el apartado 1. La autoridad de control comunicará esas listas al Comité a que se refiere el artículo 68. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/8 5. La autoridad de control podrá asimismo establecer y publicar la lista de los tipos de tratamiento que no requieren evaluaciones de impacto relativas a la protección de datos. La autoridad de control comunicará esas listas al Comité. 6. Antes de adoptar las listas a que se refieren los apartados 4 y 5, la autoridad de control competente aplicará el mecanismo de coherencia contemplado en el artículo 63 si esas listas incluyen actividades de tratamiento que guarden relación con la oferta de bienes o servicios a interesados o con la observación del comportamiento de estos en varios Estados miembros, o actividades de tratamiento que puedan afectar sustancialmente a la libre circulación de datos personales en la Unión. 7. La evaluación deberá incluir como mínimo:
- a)una descripción sistemática de las operaciones de tratamiento previstas y de los fines del tratamiento, inclusive, cuando proceda, el interés legítimo perseguido por el responsable del tratamiento;
- b)una evaluación de la necesidad y la proporcionalidad de las operaciones de tratamiento con respecto a su finalidad;
- c)una evaluación de los riesgos para los derechos y libertades de los interesados a que se refiere el apartado 1, y
- d)las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de seguridad y mecanismos que garanticen la protección de datos personales, y a demostrar la conformidad con el presente Reglamento, teniendo en cuenta los derechos e intereses legítimos de los interesados y de otras personas afectadas. 8. El cumplimiento de los códigos de conducta aprobados a que se refiere el artículo 40 por los responsables o encargados correspondientes se tendrá debidamente en cuenta al evaluar las repercusiones de las operaciones de tratamiento realizadas por dichos responsables o encargados, en particular a efectos de la evaluación de impacto relativa a la protección de datos. 9. Cuando proceda, el responsable recabará la opinión de los interesados o de sus representantes en relación con el tratamiento previsto, sin perjuicio de la protección de intereses públicos o comerciales o de la seguridad de las operaciones de tratamiento. 10. Cuando el tratamiento de conformidad con el artículo 6, apartado 1, letras
- c)o e), tenga su base jurídica en el Derecho de la Unión o en el Derecho del Estado miembro que se aplique al responsable del tratamiento, tal Derecho regule la operación específica de tratamiento o conjunto de operaciones en cuestión, y ya se haya realizado una evaluación de impacto relativa a la protección de datos como parte de una evaluación de impacto general en el contexto de la adopción de dicha base jurídica, los apartados 1 a 7 no serán de aplicación excepto si los Estados miembros consideran necesario proceder a dicha evaluación previa a las actividades de tratamiento. 11. En caso necesario, el responsable examinará si el tratamiento es conforme con la evaluación de impacto relativa a la protección de datos, al menos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/8 cuando exista un cambio del riesgo que representen las operaciones de tratamiento." IV Conclusión En el presente caso, LITERA MEAT realiza un tratamiento de datos de categoría especial en el marco de un sistema de control de acceso al área de producción cárnica de la empresa que utiliza datos biométricos para la verificación de la identidad de los trabajadores. En el marco de las actuaciones realizadas, LITERA MEAT ha aportado documentación relativa al análisis de riesgos realizado. Ese análisis incluye una exposición de los motivos que requeriría, a juicio de la empresa, la utilización del sistema: la necesidad de acreditar la identidad de los trabajadores teniendo en cuenta los requisitos de control sanitario que debe cumplir la empresa. Asimismo, aporta una valoración de sistemas alternativos y una justificación de por qué dichas alternativas no se consideran equivalentes, remitiendo con los equipos que deben utilizar los trabajadores y a las incidencias producidas en el pasado con la utilización de tarjetas identificativas. Por último, informa de que dicho sistema de control biométrico se ha implantado únicamente en la zona de producción de carne, para la que se aporta la justificación de necesidad mencionada, y ha sido sustituido por identificación con tarjeta para las zonas de oficina de la empresa, en las que dicha necesidad no quedaría acreditada. De acuerdo con lo anterior, con la información disponible no se ha constatado un incumplimiento por parte de LITERA MEAT en materia de protección de datos personales. Por lo tanto, en base a lo indicado en los párrafos anteriores, no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Todo ello sin perjuicio de las posibles actuaciones posteriores que esta Agencia pudiera llevar a cabo, aplicando los poderes de investigación y correctivos que ostenta. Así pues, de acuerdo con lo señalado, por la Presidencia de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a LITERA MEAT, S.L. y a la parte reclamante. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública. La publicación se realizará una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/8 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.
- c)de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Presidencia de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-101025 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es