1/9 Expediente Nº: E/01757/2014 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el AYUNTAMIENTO DE UTRERA en virtud de denuncia presentada por D. A.A.A. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 14 de enero de 2014, tuvo entrada en esta Agencia escrito de D. A.A.A. (en lo sucesivo el denunciante) en el que denuncia a la Delegación de Recursos Humanos RR.HH del Ayuntamiento de Utrera (en adelante Ayuntamiento de Utrera) exponiendo lo siguiente: Con fecha 13 de noviembre de 2013, se publica en el Portal del Empleado del Ayuntamiento de Utrera el documento de “Circular de RRHH: Implantación del control de presencia” en el que se comunica que se está procediendo a la implantación del nuevo sistema de control de presencia, dando cuenta del calendario de implantación gradual del sistema y el deber de proceder, por parte de todos los empleados municipales, a la grabación de la huella dactilar. La comunicación indicada incumple, presuntamente, las determinaciones contempladas en el artículo 5 de la Ley Orgánica 15/1999 (LOPD), en cuanto que no se ha procedido a informar a los interesados a los que se solicitan los datos personales con carácter previo, de modo expreso, preciso e inequívoco. En el proceso de implantación del sistema de control de presencia, el Responsable de los Ficheros viene vulnerando, presumiblemente, el artículo 9 de la LOPD, dado que no se ha procedido conforme a las determinaciones contenidas en el mismo. Si bien, el denunciante no concreta ni acredita dichas circunstancias. Por parte de los Responsables de la Seguridad de los Datos no se viene guardando, presuntamente, lo establecido en el artículo 6 y 10 de la LOPD, se puede constatar en el correo electrónico remitido por el Departamento de RRHH, con fecha 4 de abril de 2013, en el que se da cuenta de la promoción realizada por una gran superficie comercial, la cual emite una tarjeta de descuento a su nombre y que es entregada por un empleado municipal. Se aporta con el escrito de denuncia la siguiente documentación: Circular de RRHH: Implantación control de presencia en la que se informa de lo siguiente: Por parte de las Delegaciones de Régimen Interior y Recursos Humanos se está procediendo a la implantación del nuevo sistema de control de presencia. Así todos los empleados municipales deberán proceder a la grabación de la huella dactilar en el lector situado en el Departamento de RR HH. Dicho lector captura la huella del empleado y el software lo transforma en un algoritmo que se envía a los terminales de control. De esta forma en ningún caso la huella dactilar se graba o distribuye, sólo un algoritmo basado en una serie de puntos de cada huella. El empleado deberá grabar la huella de un dedo de cada mano. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 (…) Con el fin de ordenar este proceso, se va a fijar un calendario, tanto de captura como de implantación por departamentos, del 12 de noviembre de 2013 al 7 de enero de 2014. Durante la primera fase de la implantación, todos los empleados de cada departamento, una vez puesto en marcha en su servicio en el sistema, pondrán la huella en el lector tanto a la entrada como a la salida de su puesto de trabajo. (…). Impresión de un correo electrónico remitido de <recursos...@...> al denunciante, el día 30 de abril de 2013, sobre Asunto: DESCUENTO EN EROSKI, en el que consta: Eroski ofrece un descuento del 5% a todos los empleados municipales (…) Para obtener el mismo sólo es necesario mostrar a la hora del abono en la caja de la compra una tarjeta identificativa personalizada junto con el DNI. Dicha tarjeta está a disposición de los empleados interesados en el Departamento de Recursos Humanos. Dicho correo electrónico es remitido por el Concejal de RRHH del Ayuntamiento de Utrera. Tarjeta en la que consta EROSKI Utrera, Entidad: Ayuntamiento de Utrera, Nombre: A.A.A., nº Trabajador: ***NÚMERO.1, fecha Caducidad: 30-09-2013. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. En el Registro General de Protección de Datos figura inscrito el fichero denominado “EXPEDIENTES DE PERSONAL”, desde el 17/05/2013, con el código ***CÓD.1, cuyo responsable es el Departamento de RRHH del Ayuntamiento de Utrera y entre los datos que contienen se encuentran “huella”. 2. El Ayuntamiento de Utrera ha informado a la Inspección de Datos, con fecha de 6 de noviembre de 2014, en relación con los hechos manifestados por el denunciante lo siguiente: 2.1. Respecto al procedimiento mediante el cual los trabajadores deben registrar la huella digital en el Sistema de Control Horario señalan lo siguiente: El Convenio Colectivo del Ayuntamiento de Utrera, en el artículo 22 Jornada laboral, señala “Para este fin se instalarán los medios mecánicos necesarios para el control horario o mediante hojas de firmas o sistemas semejantes, de tal forma que puedan acreditarse la hora de entrada y de salida”, seleccionándose para ello el procedimiento de huella dactilar. Con fecha 12 de noviembre de 2013, se dicta Circular de RRHH sobre Implantación Control de Presencia, en la que se indicaba: Por parte de las Delegaciones de Régimen Interior y Recursos Humanos se C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 C/ Jorge Juan, 6 28001 – Madrid está procediendo a la implantación del nuevo sistema de control de presencia. Así todos los empleados municipales deberán proceder a la grabación de la huella dactilar en el lector situado en el Departamento de RR HH. Dicho lector captura la huella del empleado y el software lo transforma en un algoritmo que se envía a los terminales de control. De esta forma en ningún caso la huella dactilar se graba o distribuye, sólo un algoritmo basado en una serie de puntos de cada huella. El empleado deberá grabar la huella de un dedo de cada mano. Durante la primera fase de la implantación, todos los empleados de cada departamento, una vez puesto en marcha en su servicio en el sistema, pondrán la huella en el lector tanto a la entrada como a la salida de su puesto de trabajo. (…). En consecuencia se dio información a los empleados de la forma y procedimiento de grabación de resumen de huella por aplicación del algoritmo criptográfico. Por tanto entiende este Ayuntamiento que la información referida por el artículo 5 de la Ley Orgánica de Protección de Datos se ha dado, no sólo a través del correo electrónico, sino a través del portal del empleado. Con fecha 23 de Enero de 2014, se notifica a varios empleados que no habían registrado la huella, dándoles un nuevo plazo, entre ellos se encontraba el denunciante. Por parte de la Delegación de RRHH conscientes de la controversia que genera este tipo de medida y que podrían plantearse problemas se decidió no obligar a registrar la huella ni a su registro a la entrada o salida. No obstante muchos empleados siguen haciéndolo de forma voluntaria y con el fin de cumplir el horario que si es obligatorio. Asimismo se optó por incluir un completo texto normativo en la negociación colectiva que se lleva a cabo. Así el texto que está prácticamente aprobado en el Convenio Colectivo y el Acuerdo de Funcionarios figura el siguiente texto: Todo el personal estará sujeto a control horario, siendo preferente el sistema de control mediante algoritmo generado por huella dactilar. La información recogida, por parte del Ayuntamiento de Utrera, tendrá uso exclusivo para los fines señalados en este artículo y el control del cumplimiento horario de la plantilla municipal, siendo exclusivamente gestionado por la Delegación de RRHH, que en colaboración con la Delegación de Nuevas Tecnologías adoptarán las medidas necesarias para impedir un uso inadecuado de los datos. (…). Los relojes de fichar de huella dactilar basan su funcionamiento en un pequeño lector biométrico que usa algunas de las características biológicas o físicas de cada individuo para comprobar la identidad que una persona dice tener. El proceso para obtener la imagen está basado en una holografía digital, usando un lector óptico del tamaño de la yema de un dedo. La unidad óptica lee los datos tridimensionales del dedo tales como ondulaciones de la piel, picos y valles, con el fin de crear un patrón único que estará incluido dentro del fichero de ese dedo y grabado en la base de datos. El empleado al poner su dedo en el lector, éste transforma su huella en un código, que compara con el almacenado y da el visto bueno. Este patrón no es una huella www.agpd.es sedeagpd.gob.es 4/9 digital y nunca se podrá obtener una huella digital a partir de un patrón. Con el fin de minimizar la invasión en los datos personales de los empleados, el procedimiento se gestiona exclusivamente por funcionarios municipales y con acceso restringido. En el Boletín Oficial de la provincia de Sevilla, de fecha 30 de mayo de 2014, se publicó Documento de seguridad de la información corporativa del Ayuntamiento de Utrera en materia de sistemas de Información, así como todas aquellas personas que tienen acceso a la información y a los sistemas, cuya copia se adjunta. 2.2. Respecto a las tarjetas identificativas del supermercado EROSKI señalan lo siguiente: No se ha producido cesión de datos tal y como denuncia el funcionario en su escrito. Lo que ocurrió fue que como encargado del tratamiento, se facilitaron exclusivamente los datos de nombre y apellidos de empleados municipales, para que una imprenta realizara una impresión de unas tarjetas con el logotipo de la gran superficie. Una vez impresas las tarjetas, el Departamento de RRHH las repartió a los empleados que lo desearon. El funcionamiento era exhibirlas junto con el DNI por cada empleado en el supermercado, que al comprobar que pertenecía a un colectivo específico aplicaba un descuento temporal ya extinguido. En ningún momento la gran superficie tuvo acceso a los datos ni en la fabricación de las tarjetas, ni en el reparto ni en su exhibición, siendo el propio empleado el que la aportaba al establecimiento para la obtención del descuento, dando su consentimiento en ese momento, por lo que entienden que no ha existido la cesión denunciada. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
- d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El denunciante reclama que RR.HH del Ayuntamiento de Utrera, con fecha 13 de noviembre de 2013, publicó a través del Portal del Empleado el documento de “Circular de RRHH: Implantación del control de presencia” en el que se comunica que se está procediendo a la implantación del nuevo sistema de control de presencia, dando cuenta del calendario de implantación gradual del sistema y el deber de proceder, por parte de todos los empleados municipales, a la grabación de la “huella dactilar”, considerando que el procedimiento utilizado, a su juicio, incumple la normativa sobre protección de datos, entre otros, los articulo 5 y 9 de la LOPD. Son partes afectadas en el presente procedimiento, de un lado el Ayuntamiento de Utrera y, de otro sus trabajadores entre los que se encuentra el denunciante, concurriendo entre ambos una relación laboral que, en principio, habilita a la Corporación para el tratamiento de los datos personales de los trabajadores para las “finalidades” que tiene encomendadas como el control hotrario sin el consentimiento de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 los afectados, en base al artículo 6.2 de la LOPD que recoge: “2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento..” Respecto al consentimiento en el ámbito laboral, el artículo 20.3 del Estatuto de los Trabajadores dispone que: “El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana y teniendo en cuenta la capacidad real de los trabajadores disminuidos, en su caso” Por tanto, el tratamiento del dato personal de la huella dactilar para el “control de presencia” obliga al responsable del tratamiento a cumplir con el deber de información a los afectados de forma previa y de buena fe. El artículo 5 de la LOPD, recoge: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
- a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
- b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
- c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
- d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
- e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante”. Habida cuenta la denuncia formulada en contraposición con la normativa trascrita, lleva a determinar si la información facilitada por RR.HH del Ayuntamiento de Utrera a través del Portal del Empleado en el documento de “Circular de RRHH: Implantación del control de presencia” en el que se comunica que se está procediendo a la implantación de un nuevo sistema de control a través de la huella dactilar y su calendario de implantación cumple con el derecho de “información” citado y previo al tratamiento de los datos de los afectados. III C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 Por parte de la AEPD en el ámbito de sus competencias llevó a cabo un período de “diligencias previas” a fin de contrastar la información previa a la implementación del nuevo sistema de control por huella dactilar, de forma que el Ayuntamiento de Utrera ha informado a la Inspección de Datos, con fecha de 6 de noviembre de 2014 lo siguiente:
- a)Respecto al procedimiento mediante el cual los trabajadores deben registrar la huella digital en el Sistema de Control Horario señalan que el Convenio Colectivo obrante al expediente del Ayuntamiento de Utrera, en el artículo 22 Jornada laboral, prevé que “para este fin se instalarán los medios mecánicos necesarios para el control horario o mediante hojas de firmas o sistemas semejantes, de tal forma que puedan acreditarse la hora de entrada y de salida”, seleccionándose para ello el procedimiento de huella dactilar.
- b)Que con fecha 12 de noviembre de 2013, se dictó Circular de RRHH sobre “Implantación Control de Presencia”, destinada a trabajadores y sindicatos en la que se indicaba: “Por parte de las Delegaciones de Régimen Interior y Recursos Humanos se está procediendo a la implantación del nuevo sistema de control de presencia. Así todos los empleados municipales deberán proceder a la grabación de la huella dactilar en el lector situado en el Departamento de RR HH. Dicho lector captura la huella del empleado y el software lo transforma en un algoritmo que se envía a los terminales de control. De esta forma en ningún caso la huella dactilar se graba o distribuye, sólo un algoritmo basado en una serie de puntos de cada huella. El empleado deberá grabar la huella de un dedo de cada mano. Durante la primera fase de la implantación, todos los empleados de cada departamento, una vez puesto en marcha en su servicio en el sistema, pondrán la huella en el lector tanto a la entrada como a la salida de su puesto de trabajo. (…).
- c)Ante la comprobación de que varios empleados que no habían registrado la huella y el rechazo del nuevo método de control de presencia entre ellos el denunciante, por RR.HH se decidió no obligar a registrar la huella ni a su registro a la entrada o salida, optándose por hacerlo de forma voluntaria. No obstante, el Ayuntamiento de Utrera informa que en la actual negociación colectiva que se lleva a cabo y Acuerdo con funcionarios se incluye un completo texto normativo del siguiente tenor: “Todo el personal estará sujeto a control horario, siendo preferente el sistema de control mediante algoritmo generado por huella dactilar. La información recogida, por parte del Ayuntamiento de Utrera, tendrá uso exclusivo para los fines señalados en este artículo y el control del cumplimiento horario de la plantilla municipal, siendo exclusivamente gestionado por la Delegación de RRHH, que en colaboración con la Delegación de Nuevas Tecnologías adoptarán las medidas necesarias para impedir un uso inadecuado de los datos. (…). Teniendo en cuenta que, en el caso analizado, el Ayuntamiento de Utrera no procede a la implantación de un sistema de control de presencia “ex novo” sino de la sustitución del sistema precedente por el de “ huella dactilar”; que dicha Corporación tiene inscrito en el Registro General de Protección de Datos el fichero denominado “Expedientes de Personal”, desde el 17/05/2013 ( anterior al tratamiento de la huella dactilar a los trabajadores) y entre los datos que contienen se encuentran el tratamiento de la “huella”; y que el denunciante no registró su “huella dactilar”; dichas premisas C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 junto a que, se reitera, que no se trata de un primer sistema de control de presencia, llevan a concluir que al denunciante y al resto de trabajadores estaban informados de los extremos del artículo 5 de la LOPD, pues conocían y además constaba en el fichero inscrito en el RGPD los extremos indispensables como “ la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad y recogida de estos y los destinatarios de la información.., la identidad y dirección del responsable del tratamiento..” para el ejercicio de los derechos de acceso cancelación rectificación y oposición. La Audiencia Nacional se pronunció sobre un tema análogo en la Sentencia de 4/03/2008, recurso 234/2008, que en su Fundamento de Derecho Quinto, recoge: “ La AEPD considera en cambio, que dicho fichero con una finalidad genérica de gestión de personal no puede amparar el control de presencia horaria ni la recogida de los datos biométricos en cuestión, por lo que al no haberse producido su modificación ni la creación de uno nuevo cuando se inició la recogida de dichos datos, se ha cometido la infracción del artículo 44.3.
- a)LOPD. Ahora bien, la parte actora ha aportado como documento número 15 con su escrito de demanda, una resolución de archivo de actuaciones recaída a un escrito de una Central Sindical que denunciaba al citado Ayuntamiento por la implantación de un sistema de control de presencia a través de la captura de la huella dactilar, que no habría sido aprobado por la correspondiente disposición de carácter general. El citado Ayuntamiento tenía inscrito un fichero denominado "Datos personales de los trabajadores", que contiene los datos personales de los trabajadores, siendo su finalidad y uso el de gestión de "Gestión de personal", por lo que la citada resolución considera que no se ha infringido el artículo 20 LOPD, sin perjuicio de que al haber añadido el Ayuntamiento las huellas dactilares que no aparecen contempladas en los citados datos identificativos, debe proceder a la mayor brevedad posible a adaptar la Orden de creación del fichero a su nueva estructura y a inscribir la citada modificación en el RGPD. (…) De todo lo cual se desprende que aunque resultaba conveniente actualizar el fichero NFBÁSICO, como así se hizo, para recoger expresamente que entre sus finalidades se encontraba la de control horario mediante la captación de datos biométricos, existe cobertura, como vino a reconocer la AEPD en el precedente citado al acordar el archivo de las actuaciones, lo que en el caso concreto, además, excluiría la culpabilidad de la recurrente, que en la actualidad tiene ya los citados ficheros actualizados mediante disposición general del Ministerio de Fomento. Por otro lado, si no se llevó a cabo la actualización con anterioridad no fue por causa imputable a la APB, como ya se ha expuesto, circunstancia que debe valorarse a la hora de no apreciar falta de culpabilidad en su actuación..” En el presente caso, el Ayuntamiento de Utrera tiene inscrito en el RGPD el fichero de “expedientes de persona” l y tipo de datos la huella” con anterioridad al tratamiento. IV C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 Respecto a la alegación no documentada de la infracción del artículo 9 se significa que el Boletín Oficial de la provincia de Sevilla, de fecha 30 de mayo de 2014, se publicó “Documento de seguridad de la información corporativa del Ayuntamiento de Utrera en materia de sistemas de Información, así como todas aquellas personas que tienen acceso a la información y a los sistemas”. V Finalmente, en relación al correo electrónico remitido al denunciante desde la dirección <recursos...@...>, sobre Asunto: Descuento en Eroski, en el que consta: Eroski ofrece un descuento del 5% a todos los empleados municipales (…) tarjeta en la que consta EROSKI Utrera, Entidad: Ayuntamiento de Utrera, Nombre: A.A.A., se debe subrayar que, de acuerdo con el art. 45 de la Ley 34/2002 de 11 de julio de Servicios de la Sociedad de la información con infracción que prescriben a los 6 meses. En este caso los hechos denunciados se produjeron el 30/4/2013 y podrían ser constituidos de una infracción leve al haber sido denunciado el envío de una única comunicación comercial, por lo que ha de concluirse que la posible infracción que se encontrase prescrita cuando se denunciaron los hechos sin que tal circunstancia resulte imputable a esta Agencia. Finalmente se debe indicar que de la información disponible no ha quedado probado que los datos del denunciante fueran cedidos a la compañía EROSKI sino únicamente a la imprenta que elaboró las tarjetas, siendo posteriormente repartidas por el Departamento de Recursos Humanos del Ayuntamiento de Utrera entre los trabajadores que la aceptaban. Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: PROCEDER AL ARCHIVO de las presentes actuaciones. NOTIFICAR la presente Resolución al AYUNTAMIENTO DE UTRERA y a D. A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es