E-00550-2015

1/8 Expediente Nº: E/00550/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el ORGANISMO AUTONOMO PROVINCIAL DE GESTION TRIBUTARIA de la DIPUTACIÓN DE TOLEDO en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 13 de noviembre de 2014, tuvo entrada en esta Agencia escrito de D. A.A.A. (en adelante denunciante), funcionario Jefe de Sección de Calidad del Organismo Autónomo Provincial de Gestión Tributaria de Toledo (OAPGT), manifestando que han emitido un informe “técnico de actividad” del denunciante, con fecha 6 de mayo de 2014, que se utiliza como única “prueba” sobre “incumplimiento de horario” en un expediente que no trata sobre actividad. Añade, que el control de asistencia y permanencia se realiza por el sistema Visual Time, consistente en la lectura de la huella y en la fecha de los hechos no habían comunicado a los trabajadores ni a sus representantes sindicales que se hubiera establecido ningún otro sistema para el control de la puntualidad, asistencia o permanencia distinto al VisualTime. Que se han difundido datos de carácter personal del interesado a terceros en un procedimiento de expediente sancionador, sin consentimiento ni habilitación legal, en el documento de incoación de expediente sancionador en el que figura el nombre y apellidos del interesado y que se facilitó a varias personas. Que no se informó al interesado de la finalidad de los datos del fichero sobre “técnico de actividad”, ni que los datos del mismo serían relacionados con los del fichero de fichajes, ni de su contenido, ni del uso de su tratamiento, ni de los destinatarios de la información que contiene, ni de la obligación de realizar determinados registros informáticos, ni qué tareas concretas corresponden a dicho concepto. Que los datos se han usado, para un fin distinto de aquel para el que supuestamente fueron recogidos, se recogieron para el control de la actividad y se usaron para el control de fichaje. Se adjunta con el escrito de denuncia, entre otros, la siguiente documentación:  Emitido por el OAPGT: Decreto Presidente incoación expediente sancionador: expediente disciplinario, de fecha 9 de abril de 2014, en el que consta lo siguiente: “Esta Presidencia ha tenido conocimiento, tras realizarse diligencias de comprobación del sistema de permanencia y control VisualTime, que D. A.A.A. y otros seis (constan sus nombres y apellidos), todos ellos empleados públicos del OAPGT, han incumplido de forma injustificada el horario de trabajo dentro de la Jornada laboral. Considerando que dicho incumplimiento del horario laboral puede ser constitutivo de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 una falta leve (…) RESUELVO: PRIMERO.- Incoar expediente a D. A.A.A. y otros seis, (…). SEGUNDO.- Otorgar trámite de audiencia, según dispone el artículo 143.3 de la Ley 4/2011, de 10 de marzo, del Empleo Público de Castilla-La Mancha, que dice: “La imposición de sanciones por faltas leves se llevará a cabo por un procedimiento sumario y simplificado, con audiencia de la persona interesada”.  Emitido por el OAPGT: Trámite de audiencia: expediente disciplinario D. A.A.A., de fecha 12 de mayo de 2014, en el que se informa de lo siguiente: “Realizadas diligencias de comprobación del sistema de permanencia y control VisualTime han detectado incumplimientos injustificados del horario de trabajo dentro de su jornada laboral. En consecuencia, podría Vd. haber incurrido en responsabilidad disciplinaria por la comisión de una falta de las tipificadas por el Real Decreto 33/1986, de 10 de enero, por el que se aprueba el Reglamento de Régimen Disciplinario de los Funcionarios de la Administración del Estado y por la Ley 4/2011, de 10 de marzo, del Empleo Público de Castilla-La Mancha. Lo que le traslado para su conocimiento y al objeto de que dentro del plazo de diez días hábiles, contados a partir del siguiente al de su recepción, pueda formular las alegaciones que considere convenientes”.  Emitido por el OAPGT: Decreto de imposición de sanción de apercibimiento: expediente disciplinario D. A.A.A., de fecha 20 de agosto de 2014, DECRETO Nº 181/2014. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. En el Registro General de Protección de Datos figuran inscritos los ficheros denominados “control de acceso y permanencia” y “accesos a internet” con el código ***CÓD.1 y ***CÓD.2, cuyo responsable es el OAPGT, y cuya finalidad es “control del cumplimiento del horario laboral y de las ausencias en el puesto de trabajo del personal que presta servicios en el OAPGT” y “gestión de los acceso a sitios y servicios web para los empleados del OAPGT” respectivamente. 2. El Organismo Autónomo Provincial de Gestión Tributaria de Toledo ha informado a la Inspección de Datos, con fecha de 1 de septiembre de 2015, en relación con los hechos denunciados lo siguiente:  El denunciante, junto con otros seis empleados públicos del OAPGT, fue sancionado con apercibimiento por la comisión de una infracción leve por incumplimiento de la jornada de trabajo, según Decreto Nº 181/2014, en el que consta firmado el recibí por parte del denunciante.  El sistema de control de acceso y permanencia, tiene dos opciones para que los empleados registren en él su entrada y salida, bien mediante la detección del dato biométrico de la huella digital o bien mediante el acceso web a la aplicación informática para pulsar la opción de entrada o salida. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8  Que detectan en el registro de control de acceso y permanencia un uso del sistema de salida consistente en que los días que realizan jornada de tarde, suelen registrar aquella por el acceso web y el resto de los días con detección del dato biométrico de la huella digital, en tanto que las entradas se registran generalmente por este último.  El registro de control de acceso y permanencia, es aprobado por Decreto 164/2008, de 1 de octubre, del Presidente del OAPGT, publicado en el Boletín Oficial de la Provincia de Toledo número 231 de fecha 7 de octubre de 2008 e inscrito en la AEPD.  Que en fecha 4 de noviembre de 2008, el denunciante acusa recibo de notificación del Secretario del organismo en el que se le informa de que “el dato biométrico de su huella digital quedará incorporado y será tratado en un fichero de titularidad del OAPGT, con la única finalidad de mantener un correcto control horario y de asistencia de los empleados. Asimismo, le informamos de la posibilidad de ejercer, en cualquier momento, los derechos (…)”, cuya copia adjuntan.  La Instrucción 10/2009, de 27 de mayo, sobre cumplimiento de las obligaciones de asistencia, puntualidad y permanencia del personal que presta servicios en el OAPGT, indicando, entre otros, lo siguiente “El sistema tecnológico que se pondrá en funcionamiento precisa la identificación de los empleados públicos o través de un Terminal de lectura de datos biométricos (huella digital), del cual han sido informados todos los empleados públicos en cumplimiento de las obligaciones derivadas de la Ley Orgánica 15/1999, (…) Disposición adicional segunda.En el supuesto excepcional de no poder realizar la correspondiente identificación en el Terminal de Lectura, la misma deberá efectuarse manualmente a través de la aplicación Web Terminal existente en el menú “Recursos Humanos/Control Horario” de Nexo, apartado “Fichaje”. Dicha Instrucción fue publicada en la intranet del OAPGT, el 27 de mayo de 2009, para conocimiento de todos los empleados públicos y el 29 de mayo de 2009, es publicado en la intranet el manual de uso de la aplicación “webterminal” a través de la cual el usuario puede registrar las entradas y salidas mediante acceso web, cuya copia se adjunta.  En relación con la tramitación del expediente disciplinario el denunciante fue notificado mediante Diligencia, de fecha 12 de mayo de 2014, emitida por el OAPGT: Trámite de audiencia: expediente disciplinario D. A.A.A., de fecha 12 de mayo de 2014, entregado al destinatario el mismo día y en el que consta su firma con el recibí. En dicho documento no consta la identidad de las otras personas. El contenido de dicho documento coincide con el aportado por el denunciante y cuya copia adjuntan.  También, el OAPGT entrega al denunciante documento: Trámite de audiencia, en el que no consta la identidad de otras personas, se adjunta copia.  El informe técnico comprueba si el usuario ha estado electrónicamente conectado, debe autenticarse con su nombre de usuario y su contraseña, si estuviera conectado si ha tenido acceso a los sistemas de navegación corporativos y extracorporativos. Este acceso, como señala la Resolución del recurso de reposición potestativo presentado por el denunciante contra la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 Resolución del procedimiento sancionador, no se realizó desde su equipo, no se accedió a la información de carácter personal, ni a su correo electrónico, ni al contenido del uso de internet. Únicamente fue revisada la existencia o no de actividad en el registro que almacena la actividad de navegación de la organización, teniendo en cuenta que la mayoría de los sistemas de información corporativos son en entornos web, quedando la actividad reflejada en el registro de accesos a internet inscrito en la AEPD.  Las consideraciones finales del OAPGT son las siguientes:  La denuncia del Sr. A.A.A. contiene un relato que contrasta con los hechos aquí descritos y documentados.  El Sr. A.A.A. estaba informado del sistema de control de acceso y permanencia mediante notificación individual y a través de la intranet en forma de noticia y publicación de la norma correspondiente.  El Decreto de incoación del expediente sancionador no fue notificado a ninguno de los siete sancionados.  El Sr. A.A.A. autorizó el acceso realizado para que se pudiera contrastar los datos que ofrecía con “el resto de controles de los que pudiera disponer”. FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En el presente caso, se denuncia que el OAPGT ha emitido un informe “técnico de actividad” de fecha 6/05/2014 que lo utiliza como única prueba del incumplimiento del horario en un expediente disciplinario al denunciante y que a la fecha de los hechos no habían comunicado a los trabajadores ni a sus representantes sindicales que se hubiera establecido ningún otro sistema para el control de la puntualidad, asistencia o permanencia distinto al VisualTime, consistente en la lectura de la huella dactilar. Además, que se difundió el documento de incoación de expediente sancionador en el que figura el nombre y apellidos del interesado facilitándose a varias personas asícomo la falta de información al interesado de la finalidad de los datos del fichero sobre el fichero técnico de actividad, ni de su contenido, ni del uso, ni de los destinatarios de la información que contiene, ni de la obligación de realizar determinados registros informáticos. La LOPD en su artículo 6, recoge:: “2. No será preciso el consentimiento cuando los datos de carácter personal se… refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento…; o cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8 tercero a quien se comuniquen los datos, siempre que no se vulneren los derechos y libertades fundamentales del interesado”. El concepto de tratamiento de datos, se recoge en el artículo 3.
2. c)de la LOPD, que lo define como aquellas “operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias”. El tratamiento de datos sin consentimiento y sin amparo normativo constituye un límite al derecho fundamental a la protección de datos. Este derecho, en palabras del Tribunal Constitucional en su Sentencia 292/2000, de 30 de noviembre, (F.J. 7 primer párrafo), “...consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el estado o un particular (...)”. Ahora bien, la excepción al consentimiento está sujeto a garantías como que el “tratamiento” esté sujeto a una “finalidad” prevista y a que previamente a utilizarlos para una distinta se informe previamente del derecho de “información” al afectado. El artículo 4 de la LOPD, prevé que: 2. Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos. Y el artículo 5, dispone que: 1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
3. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
4. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
5. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
6. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
7. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Por lo que, la concurrencia o no de infracción a la normativa sobre protección de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8 datos lleva a ponderar, en base al principio de contradicción entre los hechos denunciados y las actuaciones inspectoras de esta Agencia, si se han producido las infracciones denunciadas que, en síntesis, serian:
8. a)la utilización del fichero para una finalidad distinta de las contempladas en la declaración al RLPOD ;
9. b)difusión a terceros del Acuerdo de Inicio de Procedimiento sancionador y,
10. c)la falta de información del artículo 5 en el establecimiento de los sistemas de control de presencia a través del sistema de “ técnico de actividad” III La LOPD en su artículo 40 reconoce a la AEPD la “potestad inspectora” y en su apartado 1, recoge: “ Las autoridades de control podrán inspeccionar...” El Reglamento 1720/2007 de 21/12, por el que se aprueba el Reglamento de desarrollo de la LOPD en su artículo 122 prevé:“ 1…., se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación...” y el R. D. 1398/1993, de 4/08, del Reglamento del Procedimiento para el ejercicio de la Potestad Sancionadora en su artículo 12 dispone lo siguiente: “ Con anterioridad a la iniciación del procedimiento, se podrán realizar actuaciones previas de investigación..”. En este caso, se llevaron a cabo las actuaciones de inspección con el resultado que se recoge en el Hecho Segundo del presente escrito. En el Registro General de Protección de Datos figuran inscritos los ficheros denominados “control de acceso y permanencia” y “accesos a internet” con el código ***CÓD.1 y ***CÓD.2, cuyo responsable es el OAPGT, y cuya finalidad es “control del cumplimiento del horario laboral y de las ausencias en el puesto de trabajo del personal que presta servicios en el OAPGT” y la “gestión de los acceso a sitios y servicios web para los empleados del OAPGT”, respectivamente. El OAPGT ha aclarado que el sistema de control de acceso y permanencia, tiene dos opciones: bien mediante la detección del dato biométrico de la “huella digital” o bien mediante el “acceso web” a la aplicación informática para pulsar la opción de entrada o salida, siendo utilizados un sistema u otro voluntariamente por los trabajadores, de forma que se detectó que los días que realizan jornada de tarde solían registrar la salida por el acceso web y el resto de los días mediante el dato biométrico de la huella digital en tanto que las entradas se registran generalmente por este último, de suerte que la utilización en la modalidad de tarde de acceso a web hizo sospechar el probable incumplimiento en el horario y motivó el inicio de los expedientes disciplinarios por incumplimiento del horario de trabajo al denunciante y otros. El OAPGT aclara que el sistema “técnico de actividad” comprueba si el usuario ha estado electrónicamente conectado, exige autenticarse con el nombre de usuario y su contraseña y si estuviera conectado si ha tenido acceso a los sistemas de navegación corporativos y extracorporativos. Este acceso, no se realizó desde el equipo del denunciante, no se accedió a la información de carácter personal, ni a su correo electrónico, ni al contenido del uso de internet. Únicamente fue revisada la existencia o C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 no de actividad en el registro que almacena la actividad de navegación de la organización, teniendo en cuenta que la mayoría de los sistemas de información corporativos son en entornos web, quedando la actividad reflejada en el registro de accesos a internet inscrito en la AEPD. Es más el denunciante autorizó el acceso realizado para que se pudiera contrastar los datos que ofrecía con “el resto de controles de los que pudiera disponer”. De todo ello, lo que ha quedado acreditado es la utilización del denunciante de ambos sistemas de control de presencia, de la huella dactilar y de acceso a sitios y servicios web por los trabajadores, uso que supone indubitadamente el conocimiento por el denunciante de ambos sistemas para la comprobación de cumplimiento del horario, sin que sea admisible la alegación del desconocimiento de que el sistema “técnico de actividad” se pudiese ser utilizado como control de presencia cuando el mismo era utilizado para el fichaje de las tardes. IV Por otro lado, ha quedado probado que el denunciante estaba informado del sistema de control de acceso y permanencia mediante notificación individual y a través de la intranet. Ello es así, dado que, con fecha 4 de noviembre de 2008, el denunciante acusó recibo de la notificación del Secretario del organismo en el que se le informaba de que “el dato biométrico de su huella digital quedará incorporado y será tratado en un fichero de titularidad del OAPGT, con la única finalidad de mantener un correcto control horario y de asistencia de los empleados..” y por la Instrucción 10/2009, de 27 de mayo, sobre cumplimiento de las obligaciones de asistencia, puntualidad y permanencia del personal que presta servicios en el OAPGT, tal como se recoge a lo largo del punto 2 del Hecho segundo del presente escrito. Finalmente, en relación a la difusión de sus datos personales a terceros a través del acuerdo de inicio del procedimiento disciplinario ha quedado acreditado que el denunciado recibió los documentos de acuerdo de inicio y de trámite de audiencia sin que figurasen en ellos otros intervinientes y firmo el recibí, tal como se recoge en el punto 2 de las actuaciones inspectoras recogidas en el Hecho segundo de la presente resolución. Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución al ORGANISMO PROVINCIAL DE GESTION TRIBUTARIA y a D. A.A.A.. AUTONOMO De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es