E-03459-2013

1/8 Expediente Nº: E/03459/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante la AGENCIA ESTATAL DE METEOROLOGIA en virtud de denuncia presentada por d. B.B.B. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha 17 y 22 de octubre de 2012, tuvo entrada en la Agencia Española de Protección de Datos -AEPD- sendos escritos remitidos por D. B.B.B., sindicato ELA, y nueve trabajadores (en adelante los denunciantes) en el que denuncian a la Agencia Estatal de Meteorología (AEMET) manifestando que a partir del mes de marzo de 2012 el colectivo de trabajadores de la Delegación Territorial de la AEMET en el País Vasco tiene aparentemente la obligación de utilizar el reloj de control horario para dejar registro del cumplimiento del horario laboral y que el tratamiento de datos obliga a la creación del fichero de titularidad pública según establece el Real Decreto 1720/2007. Alega, que las tarjetas electrónicas no son entregadas al personal para su guarda y custodia ni tampoco están custodiadas por la empresa de seguridad que presta servicio en esta Delegación y que se encuentran sobre el mostrador de recepción, situado en el hall de entrada al edificio, al alcance de cualquiera que por allí pase y que el sistema no tiene programados algunos códigos de incidencia, por ejemplo el que se debe marcar en la pausa obligada de una hora para la comida de los trabajadores y trabajadoras con jornada de especial dedicación. Por otra parte, el sistema de vídeovigilancia dentro y fuera del edificio, al margen de ser motivo de otra denuncia ante la AEPD por el dudoso procedimiento de instalación y desinformación a las trabajadoras y trabajadores, y que una de las cámaras apunta al reloj de control horario. Concluye, que dada la gravedad de los hechos presentaron denuncia en la Inspección Provincial de Trabajo y Seguridad Social y como respuesta les deriva a presentar reclamación ante la AEPD, por lo que, solicitan aclaración sobre la adecuación del sistema de reloj de control horario respecto a la normativa vigente, así como el correcto uso de las tarjetas personales y la manipulación e información que cada trabajadora y trabajador esté obligado a cumplir y recibir respectivamente. SEGUNDO: Con fecha de 20 de febrero de 2013, dictó resolución en el procedimiento, E/7262/2013 por la que se acordó no incoar actuaciones inspectoras y no iniciar procedimiento sancionador o de infracción de las Administraciones Públicas en relación con los hechos denunciados, ya que de las alegaciones vertidas no se pone de manifiesto deficiencias operativas en el sistema de control horario y de video-vigilancia que afecten a la esfera de la protección de datos de carácter encontrándose declarados en esta Agencia los ficheros relativos al sistema denunciado y respecto de que las tarjetas no son entregadas al personal para su guarda y custodia, no se aporta prueba de la que se infiera el acceso por terceros ajenos a las mismas y tampoco corresponde a esta Agencia dirimir respecto de la falta de códigos programados para marcar incidencias. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/8 TERCERO: Con fecha de 27 de marzo de 2013, los denunciantes presentan Recurso de Reposición fundamentándolo básicamente en reiterar la obligación de declarar los ficheros en el Registro General de Protección de Datos y medidas de seguridad en la ubicación y custodia de las tarjetas de fichaje. Con fecha 17 de junio de 2013, el Director de la AEPD resuelve, estimar el Recurso de Reposición, RR/0262/2013, interpuesto por los denunciantes contra la Resolución de fecha 20 de febrero de 2013 y ordenar a la Subdirección General de Inspección de Datos que proceda a realizar la correspondiente investigación, referencia E/3459/2013, en relación con la adopción de las medidas de seguridad que preserven el acceso de terceros ajenos a los soportes o tarjetas del personal. Con respecto a la declaración de los ficheros de control horario y de video-vigilancia consta la declaración de ambos ficheros en el Registro General de Protección de Datos. CUARTO: De acuerdo a lo señalado, la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. En el Registro General de Protección de Datos figuran inscritos diversos ficheros cuyo responsable es la AEMET y, en concreto, los siguientes:  CONTROL HORARIO, con el código ***COD.1, cuya finalidad es “gestión del control horario del personal y la categoría de interesados “empleados”. La creación del mismo se realiza por Resolución de 10 de noviembre de 2010, de la Presidencia de la AEMET.  FICHERO DE VIDEO VIGILANCIA DE LA SEDE DE LA AEMET, con el código ***COD.2, cuya finalidad es “vigilancia y seguridad de la sede AEMET” y la categoría de interesados “ciudadanos y residentes”. La creación del mismo se realiza por Resolución de 31 de agosto de 2010, de la Presidencia de la AEMET. 2. De las actuaciones realizadas por la Inspección de Datos, el día 25 de septiembre de 2013, en la Delegación Territorial de la AEMET en el País Vasco se desprende lo siguiente: - El sistema de control horario mediante reloj de fichaje fue instalado en el año 2000 si bien hasta marzo de 2012 no se puso en funcionamiento, a instancias de los Servicios Centrales de la AEMET, en virtud de la Resolución del Presidente sobre calendario laboral 2011. - La puesta en marcha del procedimiento fue comunicada a los funcionarios y personal laboral de la Delegación Territorial, unos 18 trabajadores, en una reunión mantenida con los trabajadores, el día 30 de marzo de 2012, en la que se informó del funcionamiento del sistema y de que se les iba a enviar un oficio nominativo al respecto a cada uno de ellos a su dirección de correo electrónico corporativa. Además se les hizo entrega en mano, aunque algunos se negaron a recepcionarlo y, también, se publicó en el Tablón de Anuncios. El contenido del oficio coincide con el facilitado por los denunciantes. - Por otra parte, desde Servicios Centrales se remitió escrito en el que se daban instrucciones sobre control horario por medios mecánicos, de fecha 13 de julio de 2012, en respuesta a la solicitud de varios trabajadores. El contenido del C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/8 - - - - - - escrito coincide con el facilitado por los denunciantes. La tarjeta de fichaje no es un documento identificativo del empleado público, simplemente es una herramienta del sistema de control, sin datos identificativos ni elementos personales, exclusivamente contiene un número de ocho dígitos. En el momento del fichaje dicho número aparece junto con la fecha y hora en la cual se realizó el marcaje, lo que indica el funcionamiento correcto, y estos datos son grabados en el sistema asociados al nombre y apellidos del trabajador. Los datos del fichaje son registrados en un ordenador independiente de la red local del organismo, sin acceso a internet, y exclusivamente es utilizado por el Jefe de Gestión Económica y Asuntos Generales, el cual es el encargado de actualizar las incidencias. Se ha verificado por la Inspección de Datos que en las tarjetas de fichaje exclusivamente consta una numeración de ocho dígitos, en algunas de ellas, consta algún carácter alfabético manuscrito que puede coincidir con el nombre del titular y en el caso de la Delegada Territorial, figura una etiqueta con el nombre y apellidos, que han sido personalizadas por sus titulares para su rápida identificación. Como medida de control de la seguridad y de control de acceso al edificio, las tarjetas de fichaje son custodiadas por el personal de la empresa de seguridad con objeto de que no se produzca un uso fraudulento, indebido, incorrecto o negligente de la misma. El personal de la empresa de seguridad entregará la tarjeta a petición del personal que la devolverá después de fichar, haciendose esta operación en las entradas y salidas del edificio. Las tarjetas físicamente se almacenan en una caja abierta que se ubica encima de la mesa que se encuentra detrás del mostrador del hall de entrada al edificio, en la zona donde se encuentra el vigilante de seguridad. Dicha caja dispone de varios cajetines y en cada uno de los cuales se encuentra una tarjeta de fichaje. El edificio permanece abierto desde las 8 a las 15:30 horas, y se encuentra cerrado el resto del tiempo y vigilado las 24 horas todos los días del año por la empresa de seguridad contratada, entre las funciones de la empresa se encuentra “un control riguroso de los accesos a edificios, instalaciones y dependencias (…)”. Por otra parte el reloj de fichaje se encuentra ubicado en el hall de entrada al edificio y el personal tiene acceso a la información sobre sus fichajes para poder realizar las comprobaciones oportunas y, en su caso, las rectificaciones mediante un informe de control horario que se remite semanalmente a la dirección de correo electrónico corporativa de cada uno de los trabajadores. - La Delegada Territorial es la persona que entre sus competencias se encuentra el “control de presencia y puntualidad del personal”, tal y como consta reflejado en el Boletín Oficial del Estado de 11 de febrero de 2009. Por otra parte, la finalidad del sistema de control de horario es el cumplimiento de la Resolución de 28 de diciembre de 2012, del Ministerio de Administración Pública, con objeto de la remisión del cómputo total anual de horas por trabajador. El edificio donde se ubica la Delegación Territorial es compartido por otros organismos de la Administración General del Estado y se instaló en el año 1998 un sistema de video-vigilancia, que se compone de seis cámaras ubicadas en la zona perimetral interior, una en el interior de la salida de emergencia y una fija en el hall de entrada al edificio, enfocando la puerta de acceso al edificio y parte C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/8 del hall, incluida la pared en la que se encuentra el reloj de fichaje. También, dispone de dos pantallas donde se visualizan las imágenes. La contratación e instalación del sistema de video-vigilancia fue realizado por las Servicios Centrales del Ministerio y no tiene ninguna relación con el sistema de control horario. El sistema es manejado exclusivamente por el personal de seguridad y su finalidad es la seguridad del edificio, las imágenes se conservan 23 días. En los carteles que informan de la instalación de un sistema de video-vigilancia figura como dirección donde se puede ejercer los derechos la dirección del propio edifico, si bien en su caso se trasladarían las solicitudes a la dirección jurídica de la AEMET. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II En el presente caso, se han realizado diligencias previas al objeto de la comprobación “in situ” de los hechos denunciados. La LOPD en su artículo 40 reconoce a la AEPD la “ potestad inspectora” y en su apartado 1, recoge: “ Las autoridades de control podrán inspeccionar...” El Reglamento 1720/2007 de 21/12, por el que se aprueba el Reglamento de desarrollo de la LOPD en su artículo 122 prevé:“ 1…., se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación...” y el R. D. 1398/1993, de 4/08, del Reglamento del Procedimiento para el ejercicio de la Potestad Sancionadora en su artículo 12 dispone lo siguiente: “ Con anterioridad a la iniciación del procedimiento, se podrán realizar actuaciones previas de investigación..” De acuerdo con la normativa citada corresponde al Director de la Agencia Española de Protección de Datos -AEPD- determinar si, a la vista de la denuncia formulada y de los elementos aportados en justificación de la misma, concurre causa justificativa que lleve a la realización de actuaciones previas de inspección, de suerte que en el presente caso, se realizaron dichas actuaciones previas con el resultado expuesto en el Hecho Cuarto de la presente resolución. III El artículo 5 de la LOPD: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
2. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
3. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/8
4. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
5. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
6. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior.” El articulo Artículo 9, dispone: “1. El responsable del fichero, y, en su caso, el encargado del tratamiento, deberán adoptar las medidas de índole técnica y organizativas necesarias que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural. 2. No se registrarán datos de carácter personal en ficheros que no reúnan las condiciones que se determinen por vía reglamentaria con respecto a su integridad y seguridad y a las de los centros de tratamiento, locales, equipos, sistemas y programas. 3. Reglamentariamente se establecerán los requisitos y condiciones que deban reunir los ficheros y las personas que intervengan en el tratamiento de los datos a que se refiere el artículo 7 de esta Ley. Y el artículo 10, prevé: “El responsable del fichero y quienes intervengan en cualquier fase del tratamiento de los datos de carácter personal están obligados al secreto profesional respecto de los mismos y al deber de guardarlos, obligaciones que subsistirán aun después de finalizar sus relaciones con el titular del fichero o, en su caso, con el responsable del mismo”. De las actuaciones de inspección realizadas en el Delegación de la AEMET en el País Vasco se constata las siguientes circunstancias en relación con los hechos denunciados:
7. a)Que la AEMET tiene inscrito en el Registro General de Protección de datos los ficheros: “Control Horario”, cuya finalidad es “gestión del control horario del personal” y categoría de interesados “empleados”, creado por Resolución de 10 de noviembre de 2010; y el de “Video Vigilancia” , con la finalidad de “vigilancia y seguridad de la sede AEMET”, categoría de interesados “ciudadanos y residentes” creado por Resolución de 31 de agosto de 2010. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/8
8. b)La puesta en marcha del procedimiento fue comunicada a los funcionarios y personal laboral de la Delegación Territorial, unos 18 trabajadores, en una reunión mantenida con los trabajadores, el día 30 de marzo de 2012, en la que se informó del funcionamiento del sistema, de que se les iba a enviar un oficio nominativo al respecto a cada uno de ellos a su dirección de correo electrónico corporativa, además se les hizo entrega en mano, aunque algunos se negaron a recepcionarlo y, también, se publicó en el Tablón de Anuncios. El contenido del oficio, que coincide con el facilitado por los denunciantes, recoge lo siguiente: “Por la presente se pone en su conocimiento del personal laboral y funcionario de la sede de la delegación de AEMET en el País Vasco de la puesta en marcha el próximo día 2 del sistema de control horario implantado en el hall de esta Delegación. Las tarjetas serán custodiadas por el personal de la empresa de seguridad que entregara la tarjeta a petición del personal que la devolverá inmediatamente después de fichar. Se hará esta operación en las entradas y salidas del edificio tanto por motivos laborales como por la pausa laboral u otros medios. La normativa de control de horarios viene reflejada entre otras…. Y la resolución del Presidente de AEMET sobre calendario laboral de 2011, Delegada de AEMET en el País Vasco. Recibí una copia del presente escrito….” “ Por otra parte, desde Servicios Centrales se remitió escrito en el que se daban Instrucciones de fecha 13 de julio de 20012 sobre control horario, horario y marcaje de incidencias por medios mecánicos, en respuesta a la solicitud de varios trabajadores. El contenido del escrito q coincide con el facilitado por los denunciante
9. c)Se ha comprobado por la inspección que la tarjeta de fichaje no es un documento identificativo del empleado público, simplemente es una herramienta del sistema de control, sin datos identificativos ni elementos personales, exclusivamente contiene un número de ocho dígitos. En el momento del fichaje dicho número aparece junto con la fecha y hora en la cual se realizó el marcaje, lo que indica el funcionamiento correcto, y estos datos son grabados en el sistema asociados al nombre y apellidos del trabajador. Los datos del fichaje son registrados en un ordenador independiente de la red local del organismo, sin acceso a internet, y exclusivamente es utilizado por el Jefe de Gestión Económica y Asuntos Generales, el cual es el encargado de actualizar las incidencias. Se verificó por la Inspección de Datos que en las tarjetas de fichaje exclusivamente consta una numeración de ocho dígitos y en algunas de ellas, consta algún carácter alfabético manuscrito que puede coincidir con el nombre del titular. Y en el caso de la Delegada Territorial, figura una etiqueta con el nombre y apellidos, que han sido personalizadas por sus titulares para su rápida identificación.
10. d)Respecto a la seguridad en la custodia de las tarjetas de fichaje se comprobó que son custodiadas por el personal de la empresa de seguridad con objeto de que no se produzca un uso fraudulento, indebido, incorrecto o negligente de la misma, de forma que el personal de la empresa de seguridad entregará la tarjeta a petición del personal que la devolverá después de fichar, haciéndose esta operación en las entradas y salidas del edificio. Las tarjetas físicamente se almacenan en una caja abierta que se ubica encima de la mesa que se encuentra detrás del mostrador del hall de entrada al edificio, en la zona donde se encuentra el vigilante de seguridad. Dicha caja dispone de varios cajetines y en cada uno de los cuales se encuentra una tarjeta de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/8 fichaje. Habida cuenta las circunstancias expuestas no se desprende que los hechos denunciados comporten infracción a la normativa de protección de datos tal y como se denuncia, debiéndose tener en consideración que al Derecho Administrativo sancionador le son de aplicación, con alguna matización , pero sin excepciones los principios inspiradores del orden penal resultando clara la plena virtualidad del principio de presunción de inocencia La LRJPAC en su artículo 137 prevé: “Los procedimientos sancionadores respetaran la presunción de no existencia de responsabilidad administrativa mientras no se demuestre lo contrario.” Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA:  PROCEDER AL ARCHIVO de las presentes actuaciones.  NOTIFICAR la presente Resolución a la METEOROLOGIA y a D. B.B.B. . AGENCIA ESTATAL DE De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/8 Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es