E-03038-2015

1/9 Expediente Nº: E/03038/2015 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la JUNTA CASTILLA-LA MANCHA en virtud de denuncia presentada por 8 denunciante relacionados en el anexo 1 , teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 18 de marzo de 2015, tuvo entrada en esta Agencia Española de Protección de Datos (AEPD) ocho escritos individuales correspondientes a los relacionados en el anexo 1 en los que denuncian a la CONSEJERÍA DE FOMENTO de la Junta de Comunidades de Castilla-La Mancha ( en lo sucesivo La Consejería de Fomento) en el que denuncian que son trabajadores con la categoría de vigilantes de carreteras en el servicio periférico de Fomento de Albacete y que como principal herramienta de trabajo disponen de un vehículo para recorrer la provincia de Albacete, tomando notas de posibles anomalías, incidencias y tareas de conservación y todos los días al final de la jornada laboral o de la posible guardia localizada fuera del horario habitual, realizan un parte diario firmado por ambos trabajadores, donde figura la ruta, incidencias, kilómetros y horario, un parte de vehículo con la fecha, hora de salida, hora de entrada, conductor, etc. Además disponen de un sistema de fichaje con huella digital para registrar la entrada y salida del centro de trabajo. Que en marzo de 2014 instalan en los vehículos un dispositivo localizador en tiempo real GPS y que desde el servicio de carreteras de Albacete pueden observar y visionar para el control laboral, además de otros posibles fines, como el control de guardia localizada. Desde esa fecha no se les ha informado y una pegatina colocada en el interior del vehículo, hace un par de semanas febrero de 2015, dice textualmente vehículo dotado con sistema GPS localizador. El GPS identifica la posición del vehículo y de las personas que lo conducen, cuando, cuanto tiempo paran, itinerarios realizados, etc. Por lo que se están tratando datos de carácter personal sin haber sido informados, sin saber quién está tratando estos datos y para que se utilizan. Solicitan la retirada del sistema o en su caso la colocación de un interruptor de accionamiento para utilizarlo cuando sea necesario o preciso laboralmente. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1.En el Registro General de Protección de Datos figura inscrito el fichero denominado “GESTION DE PERSONAL ALBACETE”, con el código ***CÓD.1, siendo responsable Servicios Periféricos de Fomento de Albacete de la Consejería de Fomento y cuya finalidad es “gestión del personal adscrito a la delegación provincial”. 2. La Dirección General de Carreteras y Transportes de la Consejería de Fomento ha informado a la Inspección de Datos, con fecha de 10 de noviembre de 2015, en relación C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/9 con la instalación de dispositivos de posicionamiento global GPS en los vehículos lo siguiente:  La instalación de dispositivos GPS en los vehículos de emergencias en la provincia de Albacete se realiza el día 28 de abril de 2014 para lo cual los usuarios de los vehículos afectados, que coinciden con los denunciantes, tuvieron que modificar la agenda con objeto de realizar la instalación y fueron informados de dicha instalación de forma verbal por el encargado del taller.  Servicios Periféricos de la Consejería de Fomento comunica a los usuarios de los vehículos mediante documento personalizado, con fecha de 9 de enero de 2015, en el que constan los siguientes extremos: Por medio del presente escrito, pongo en conocimiento del trabajador (…), con D.N.I. (…), perteneciente al personal Laboral del Servicio Periférico de la Consejería de Fomento de Albacete, como usuario habitual de los vehículos de esta Consejería lo siguiente: Que conforme se le comunicó verbalmente al día 25 de abril de 2014, con fechas 28 y 29 de abril de 2014 fueron instalados dispositivos de localización GPS en los siguientes vehículos: (…). Que desde el día de implantación de los GPS hasta el día de hoy, los datos recogidos únicamente han sido utilizados para realizar pruebas de funcionamiento (…). Que una vez verificados que dichos dispositivos GPS funcionan correctamente, este Servicio Periférico podrá hacer uso de los datos recogidos por los mismos, a los efectos que procedan, a partir del día 1 de febrero de 2015. Que los datos facilitados por estos dispositivos permitirán a esta administración:  Registrar en tiempo real la posición del vehículo (...).  Localizar fácilmente el vehículo en caso de accidente (…).  Verificar la jornada laboral de los usuarios de los vehículos.  Gestionar los avisos de emergencias (…). Diligencia de Notificación Con fecha de 15 de enero de 2015 el empleado público XXX, notifica personalmente al interesado el escrito del Servicio de Carreteras en el que se contiene la presente diligencia, mediante entrega de copia íntegra del mismo, firmando el interesado –en prueba de ello- el presente RECIBÍ. Fdo.: (…) (El interesado) Se aportan copia de las “8” notificaciones realizadas a los denunciantes que todas ellas se encuentran sin firmar y marcada la casilla La rechaza. Si bien, consta la firma del notificador y la fecha 14 o 15 de enero de 2015. También, se adjuntan “15” escritos firmados por otros trabajadores.  El Juzgado de lo Social nº 3 de Albacete, con fecha de 12 de mayo de 2015, dicta Sentencia nº ****/15, Procedimiento de Tutela Derechos Fundamentales nº 1111/14, a instancia de la Secretaría Regional de la Federación de servicios a la ciudadanía de CC.OO. contra la Consejería de Fomento de la Junta de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/9 Comunidades de Castilla-La Mancha, en cuyo fundamento de derecho cuarto se indica textualmente: “la instalación del GPS no crea un registro de datos de carácter personal, sino que la información recogida es matricula de vehículo, fecha y hora, posición geográfica del vehículo y si éste está en marcha o parado. No existe constancia de un uso indebido de dichos datos por la Administración demandada, habiendo informado la misma de modo expreso y por escrito a los conductores de dichos vehículos, que los mismos pueden emplearse para verificar la jornada laboral a partir del 1 de febrero de 2015 (…). A lo que ha de añadirse, que la utilización de los datos proporcionados por el dispositivo GPS para verificar la jornada laboral de los conductores de los vehículos de la J.C.C.M. que efectúan su prestación de servicios en lugares no fijos, no estando sujetos a un control directo en cuanto a su jornada y horario, es un medio adecuado y proporcionado de vigilancia y control que no afectan a la intimidad personal, pues el control se realiza durante la jornada laboral, (…). Derivándose de la instalación de dicho dispositivo, más beneficios o ventajas para el interés general (…). En consecuencia, procede la desestimación de la demanda, (…). FUNDAMENTOS DE DERECHO I Es competente para resolver la Directora de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II Los denunciantes, Vigilantes de carreteras en el Servicio Periférico de Albacete dependientes de la Consejería de Fomento de la Junta de Comunidades de Castilla La Mancha denuncian la instalación en el vehículo profesional de un localizados GPS, sin que les hayan informado previamente de forma oficial de los extremos relacionados en el artículo 5 de la LOPD La LOPD en su artículo 6, recoge: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento”; En el presente caso, está probada la relación laboral de los denunciantes con la la Consejería de Fomento que la permite tratar los datos personales de los denunciantes C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/9 para las finalidades laborales que tienen encomendadas como el seguimiento de las obligaciones profesionales. El Decreto Legislativo 1/1995, de 24 de marzo, por el que se aprueba el texto refundido de la Ley del Estatuto de los Trabajadores -ET- ha atribuido facultades específicas a la empresa que posibilitan el control del desarrollo de la prestación laboral y el ejercicio de estas facultades comporta en muchas ocasiones tratamientos de datos personales. Su artículo 20, apartado 3 y 4 , disponen: «3. El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana y teniendo en cuenta la capacidad real de los trabajadores disminuidos, en su caso. 4. El empresario podrá verificar el estado de enfermedad o accidente del trabajador que sea alegado por éste para justificar sus faltas de asistencia al trabajo, mediante reconocimiento a cargo de personal médico. La negativa del trabajador a dichos reconocimientos podrá determinar la suspensión de los derechos económicos que pudieran existir a cargo del empresario por dichas situaciones. (Art. 20.3 y 4 Real Decreto Legislativo 1/1995, de 24 de marzo, por el que se aprueba el texto refundido de la Ley del Estatuto de los Trabajadores). Cuando para el desarrollo de la función empresarial de control se utilizan las tecnologías de la información, las posibilidades de repercusión en los derechos del trabajador se multiplican y se manifiestan de muy diversos modos. Pueden citarse entre otros, los controles biométricos como la huella digital, la videovigilancia, los controles sobre el ordenador -como las revisiones, el análisis o la monitorización remota, la indexación de la navegación por Internet, o la revisión y monitorización del correo electrónico y/o del uso de ordenadores-, o los controles sobre la ubicación física del trabajador mediante geolocalización. En la mayor parte de estos supuestos existen tratamientos de datos personales y, en consecuencia, es necesario cumplir con los principios de protección de datos. La Agencia Española de Protección de Datos y la jurisprudencia de los tribunales han venido indicando distintos supuestos en los que tales tratamientos son admisibles y las condiciones para su realización. Por otro lado, el uso de tecnologías de la información multiplica las posibilidades de control empresarial y obliga a tener en cuenta el respeto a los derechos fundamentales de los trabajadores, a adoptar medidas de control que sean proporcionales y respeten su dignidad, su derecho a la protección de datos y su vida privada. Existe por tanto, un conjunto de principios cuyo respeto resulta recomendable cuando no prácticamente ineludible. La legitimación para el tratamiento deriva de la existencia de la relación laboral y, por tanto, de acuerdo con el trascrito artículo 6.2 LOPD, no se requiere del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/9 “consentimiento” . A la hora de decidir adoptar una medida de control que comporte un tratamiento de datos personales debe aplicarse el principio de “proporcionalidad” así puede ser perfectamente razonable dotar de un dispositivo de geolocalización en tareas como, en el presente caso, mantener la seguridad en las instalaciones de las carreteras y para las que resulte relevante conocer donde se encuentra el vehículo dotado de localizador y, por ende los trabajadores, en qué momento se están llevando a cabo las obligaciones derivadas de la realización de labores de la seguridad, sin que ello pueda suponer pues no sería proporcional que se facilite un dispositivo de esta naturaleza a todos los trabajadores de la empresa cuando su tipo de prestación no lo haga necesario. Debe existir una “finalidad” que, en este caso, no puede ser otra que la establecida por el trascrito artículo 20.3 ET de «verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales». «En cuanto a la posibilidad de que las huellas sean tratadas sin consentimiento del interesado, (...) será posible el tratamiento inconsentido, ya que el artículo 6.2 de la LOPD prevé que no será preciso el consentimiento cuando los datos "se refieran a las partes de un contrato o precontrato de una relación laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento" (Informe sobre Tratamiento de la huella digital de los trabajadores)» Los datos que se obtengan y almacenen deberán ser “exactos y puestos al día” y no podrán conservarse más tiempo del necesario. Se recomienda a los empleadores fijar un plazo de conservación. Y también, debe cumplirse con el deber de “información” a los trabajadores. Este deber resulta particularmente relevante no solo cuando se trate de controles sobre el uso de Internet y/o del correo electrónico. En este caso es muy recomendable que la información a los trabajadores sea clara en lo que respecta a la política de la empresa en cuanto a utilización del correo electrónico e Internet, describiendo de forma pormenorizada en qué medida los trabajadores pueden utilizar los sistemas de comunicación de la empresa con fines privados o personales. Así como que incluya la finalidad de la vigilancia, y cuando pueda repercutir sobre medios que el trabajador utiliza normalmente una información sobre las medidas de vigilancia adoptadas. Por otra parte, en la medida en la que este tipo de controles inciden sobre el conjunto de la empresa puede ser muy recomendable informar también a los representantes de los trabajadores de las políticas adoptadas en esta materia. No se trata en absoluto de que el trabajador conozca el detalle de políticas de seguridad que pueden afectar a ámbitos que la empresa necesita proteger. Sin embargo, es indispensable que conozca por ejemplo si puede recibir mensajes privados, o depositar fotografías en determinados espacios en su ordenador o en un servidor corporativo o cualquier medida sobre la monitorización de sus obligaciones profesionales. La información previa y su prueba es esencial, ya que estos tratamientos no requieren el consentimiento del trabajador y son manifestación de los poderes de control del empresario. «..es necesario recordar lo que ya se dijo sobre la existencia de un hábito social C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/9 generalizado de tolerancia con ciertos usos personales moderados de los medios informáticos y de comunicación facilitados por la empresa a los trabajadores. Esa tolerancia crea una expectativa también general de confidencialidad en esos usos; expectativa que no puede ser desconocida, aunque tampoco convertirse en un impedimento permanente del control empresarial, porque, aunque el trabajador tiene derecho al respeto a su intimidad, no puede imponer ese respeto cuando utiliza un medio proporcionado por la empresa en contra de las instrucciones establecidas por ésta para su uso y al margen de los controles previstos para esa utilización y para garantizar la permanencia del servicio. Por ello, lo que debe hacer la empresa de acuerdo con las exigencias de buena fe es establecer previamente las reglas de uso de esos medios –con aplicación de prohibiciones absolutas o parciales- e informar a los trabajadores de que va existir control y de los medios que han de aplicarse en orden a comprobar la corrección de los usos, así como de las medidas que han de adoptarse en su caso para garantizar la efectiva utilización laboral del medio cuando sea preciso, sin perjuicio de la posible aplicación de otras medidas de carácter preventivo, como la exclusión de determinadas conexiones. De esta manera, si el medio se utiliza para usos privados en contra de estas prohibiciones y con conocimiento de los controles y medidas aplicables, no podrá entenderse que, al realizarse el control, se ha vulnerado "una expectativa razonable de intimidad" en los términos que establecen las sentencias del Tribunal Europeo de Derechos Humanos de 25 de junio de 1997 (caso Halford) y 3 de abril de 2007 (caso Copland) para valorar la existencia de una lesión del artículo 8 del Convenio Europeo par la protección de los derechos humanos. (Sentencia de la Sala de lo Social del Tribunal Supremo de 26 de septiembre de 2007)». En síntesis, el Tribunal Supremo en la Sentencia de fecha 26 de septiembre de 2007 sobre el “control empresarial del correo electrónico”, concluye la posibilidad de que el empresario pueda acceder al control del ordenador, del correo electrónico, los accesos a Internet de los trabajadores y a controles de geolocalización , siempre que la empresa de “buena fe” haya establecido “previamente” las reglas de uso de esos medios con aplicación de prohibiciones absolutas o parciales e informado de que va existir un control y de los medios que han de aplicarse en orden a comprobar la corrección de los usos. III Pues bien, de las diligencias preliminares llevadas a cabo por la Inspección recogidas en el hecho segundo, se desprende que:
2. a)Que la “instalación” de dispositivos GPS en los vehículos de emergencias en la provincia de Albacete se inició el día 28/04/2014 y fueron informados de la instalación de forma verbal por el encargado del taller.
3. b)Los Servicios Periféricos de la Consejería de Fomento comunica, con fecha 9/01/2015 a los usuarios de los vehículos mediante documento personalizado, en el que constan los siguientes extremos: <Por medio del presente escrito, pongo en conocimiento del trabajador (…), con D.N.I. (…), perteneciente al personal Laboral del Servicio Periférico de la Consejería de Fomento de Albacete, como usuario habitual de los vehículos de esta Consejería lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/9 Que conforme se le comunicó verbalmente al día 25/04/2014, con fechas 28 y 29/04/2014 fueron instalados dispositivos de localización GPS en los siguientes vehículos: (…). Que desde el día de implantación de los GPS hasta el día de hoy, los datos recogidos únicamente han sido utilizados para realizar “pruebas” de funcionamiento (…). Que una vez verificados que dichos dispositivos GPS funcionan correctamente, este Servicio Periférico podrá hacer uso de los datos recogidos por los mismos, a los efectos que procedan, a partir del día 1 de febrero de 2015. Que los datos facilitados por estos dispositivos permitirán a esta administración:  Registrar en tiempo real la posición del vehículo (...).  Localizar fácilmente el vehículo en caso de accidente (…).  Verificar la jornada laboral de los usuarios de los vehículos.  Gestionar los avisos de emergencias (…). Diligencia de Notificación Con fecha de 15 de enero de 2015 el empleado público XXX, notifica personalmente al interesado el escrito del Servicio de Carreteras en el que se contiene la presente diligencia, mediante entrega de copia íntegra del mismo, firmando el interesado –en prueba de ello- el presente RECIBÍ Fdo.: (…) (El interesado)>
4. c)Consta copia de las “8” notificaciones realizadas a los denunciantes que todas ellas se encuentran sin firmar y marcada la casilla la rechaza. Si bien, consta la firma del notificador y la fecha 14 o 15 de enero de 2015. También, se adjuntan “15” escritos firmados por otros trabajadores. Es decir, los Servicios Periféricos de Albacete informaron el 9/01/2015 previamente y conforme a los criterios recogidos en el sentencia deT.S. de 26 de septiembre de 2007 a los vigilantes de carreteras de la entrada en funcionamiento de los GPSs en los vehículos de la empresa, ya que no consta que desde las fechas de su instalación en los vehículos 28 y 29/04/2015 hasta dicha fecha el sistema se encuentra en periodo de pruebas y no consta se tratasen datos reales según lo previsto en el artículo 94.4 del Reglamento de la LOPD1/02/2015, conducta que observa las prescripciones previstas en la normativa sobre protección de datos y jurisprudencia consolidada. Por lo que, consta acreditado que los trabajadores del Servicio Periferico la Consejería de Fomento fueron informados previamente y de buena fe de la instalación de dispositivos GPS en lo vehículos de la empresa. Es más, el Juzgado de lo Social nº 3 de Albacete, con fecha de 12/05/2015, dictó Sentencia nº ****/15, Procedimiento de Tutela Derechos Fundamentales nº 1111/14, a C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/9 instancia de la Secretaría Regional de la Federación de servicios a la ciudadanía de CC.OO. contra la Consejería de Fomento de la Junta de Comunidades de Castilla-La Mancha, en cuyo fundamento de derecho cuarto se indica textualmente: “la instalación del GPS no crea un registro de datos de carácter personal, sino que la información recogida es matricula de vehículo, fecha y hora, posición geográfica del vehículo y si éste está en marcha o parado. No existe constancia de un uso indebido de dichos datos por la Administración demandada, habiendo informado la misma de modo expreso y por escrito a los conductores de dichos vehículos, que los mismos pueden emplearse para verificar la jornada laboral a partir del 1 de febrero de 2015 (…). A lo que ha de añadirse, que la utilización de los datos proporcionados por el dispositivo GPS para verificar la jornada laboral de los conductores de los vehículos de la J.C.C.M. que efectúan su prestación de servicios en lugares no fijos, no estando sujetos a un control directo en cuanto a su jornada y horario, es un medio adecuado y proporcionado de vigilancia y control que no afectan a la intimidad personal, pues el control se realiza durante la jornada laboral, (…). Derivándose de la instalación de dicho dispositivo, más beneficios o ventajas para el interés general (…). En consecuencia, procede la desestimación de la demanda, (…). Por lo tanto, de acuerdo con lo señalado, Por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución y el Anexo 1 a la JUNTA de CASTILLA-LA MANCHA, Consejería de Fomento y a cada uno de los denunciantes la resolución con su correspondiente Anexo. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/9 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es