E-04063-2013

1/11 Expediente Nº: E/04063/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el INSTITUTO NACIONAL DE ESTADISTICA en virtud de denuncia presentada por D.ª A.A.A. y otros dos, teniendo como base los siguientes HECHOS PRIMERO: Con fecha 14 de junio de 2013 tuvo entrada en esta Agencia escrito de D.ª A.A.A., en representación del Comité de Empresa del Ministerio de Economía y Hacienda en Cádiz ( en lo sucesivo la denunciante) y con fechas 10 de junio de 2013 y 18 de septiembre de 2013 de otros dos denunciante por el mismo tema, en el que denuncian al INSTITUTO NACIONAL DE ESTADÍSTICA -INE- porque se les ha solicitado, de forma verbal o por escrito, que se personaran en las dependencia de la Delegación Provincial correspondiente para la toma de sus huellas digitales y que así lo han hecho y que no se les ha informado ni verbalmente ni por escrito respecto dónde se guardaran sus datos biométricos, quién los custodiara y con qué finalidad según lo dispuesto en el artículo 5 de la Ley Orgánica 15/1999 de 13 de diciembre, de protección de datos de carácter personal . Uno de los denunciantes, trabajador del INE en Navarra, aporta impresión de pantalla de un escrito remitido por correo electrónica desde la Delegación de Estadística de Navarra <xxxxx@ine.es> a distintas direcciones de correo electrónico del dominio <ine.es>, entre la que se encuentra la <........@ine.es>, el día 3 de junio de 2013, en el que textualmente se informa de lo siguiente: “Hasta el miércoles (inclusive) debéis ir a la otra delegación para que os tomen la huella. Tenéis que llevar también la tarjeta que utilizamos para pedir las vacaciones”. Otro de los denunciante, trabajador del INE en Pontevedra, aporta copia del escrito de la Delegación Provincial del INE en Pontevedra, el día 16 de julio de 2013, en el que dan respuesta a su reclamación formulada a causa de la petición de la huella digital, el día 25 de junio de 2013, en relación con la finalidad de dicha toma de datos lo siguiente: “En aplicación de la Ley 2/2012 de 29 de junio, de Presupuestos Generales del Estado, que establece que la jornada general de trabajo en el sector público no podrá ser inferior a treinta y siete horas y media semanales de trabajo efectivo de promedio en cómputo anual y de la Resolución de 28 de diciembre de 2012, que establece en el artículo 11.1 que los empleados públicos deberán registrar en el sistema de control horario de su centro de trabajo todas las entradas y salidas correspondientes a su modalidad de jornada, este Instituto ha adquirido sistemas de control horario basados en el reconocimiento de la huella digital como elemento de identificación individual, dado que el tratamiento informático de ese dato biométrico, no contiene ningún aspecto concreto de la personalidad y tan sólo cuando se vincula a la identidad de una persona es posible C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/11 identificarla con certeza, de modo que los datos que se recaban de la huella digital no se consideran de mayor trascendencia que los relativos a un número personal vinculado a una tarjeta personalizada. SEGUNDO: Tras la recepción de la denuncia la Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. En el Registro General de Protección de Datos figuran inscritos los ficheros denominados Fichero de Control Horario por Huella. Dp. el INE Navarra; Fichero de Control Horario por Huella. Dp. del INE Cádiz; y Fichero de Control Horario por Huella. Dp del INE Pontevedra, cuyo responsable es el INE. 2. El INE ha informado a la Inspección de Datos, con fecha de 19 de diciembre de 2013, en relación con la toma de la huella dactilar en delegaciones provinciales del Organismo lo siguiente: - Con motivo de la aprobación de la Resolución de 28 de diciembre de 2012, de la Secretaría de Estado de Administraciones Públicas, por la que se dictan instrucciones sobre jornada y horarios de trabajo del personal al servicio de la Administración General del Estado y sus organismos públicos, que en su artículo 11.1 establece que “los empleados públicos deberán registrar en el sistema de control horario de su centro de trabajo todas las entradas y salidas correspondientes a su modalidad de jornada”, comienzan a ponerse en marcha a primeros de 2013 los trámites para la futura implantación de un sistema de control horario por huella digital del personal del INE, basado en el registro de entradas y salidas mediante su identificación a través de la huella de cada empleado. - Dicho procedimiento se ha ido implantando gradualmente en la estructura periférica del organismo, iniciándose en aquellas Delegaciones que cuentan con una plantilla de más de 50 empleados y que no contaran con sistemas automatizados de control horario, sino manuales, por medio de firmas. - Este sistema de control horario, se basa en el reconocimiento de la huella digital como elemento de identificación individual y se realiza comparando la huella del usuario con los datos almacenados en el sistema, que se han obtenido mediante el proceso de registro y archivo de la huella. La huella dactilar se trata de un dato biométrico que, mediante un análisis técnico, permite distinguir las singularidades que concurren aspectos físicos del individuo, y que, resultando que es imposible la coincidencia de tales aspectos en dos individuos, permiten para servir para identificar al ciudadano en cuestión. La recogida de huella se realiza en dos dedos diferentes. - Los datos que finalmente quedan almacenados en el sistema tras la captura de la misma, no son imágenes que reproduzcan en su total integridad la huella propiamente dicha, sino trazados o puntos biométricos que permiten que al cotejarse éstos con el contacto de la huella en los terminales cuando se realizan los registros de entradas y salidas, permitan identificar fielmente a la persona que los realiza. Asimismo, los datos personales de los que disponía la aplicación anteriormente al registro de la huella digital (nombre, apellidos, documento nacional de identidad, número personal de la tarjeta de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/11 empleado del organismo) junto con los trazados biométricos se utilizan exclusivamente para la gestión del control horario e incidencias que del mismo se deriven. - En cuanto a las personas que tienen acceso a esos datos, en las Delegaciones Provinciales, es el correspondiente Jefe de Gestión provincial y en los Servicios Centrales del organismo, son la Jefa de Área de Asuntos Generales del INE y el Jefe de Área de la Subdirección General de Tecnologías de la Información y las Comunicaciones. La puesta en marcha efectiva del nuevo sistema de control horario en las provincias donde se han formulado las denuncias se pone en funcionamiento el 1 de octubre en la Delegación de Navarra, el 7 de noviembre en la Delegación de Cádiz y el 16 de septiembre de 2013, en la Delegación de Pontevedra. - Desde los Servicios Centrales del INE se comunica a los Delegados Provinciales, en fecha 26 de septiembre de 2013, mediante correo electrónico, que antes de empezar a utilizar el terminal de control horario de huella digital, se deberá comunicar a los trabajadores de la forma que se estime más conveniente (mediante nota informativa en el tablón, correos electrónicos, o mediante la entrega de la información en mano), que se va a realizar el control horario con ese tipo de terminal, funcionamiento del sistema, necesidad de capturar huellas digitales de los empleados y que su finalidad es el registro de las horas de entrada y salida para el cumplimiento de la jornada laboral. Asimismo que el sistema es obligatorio para todos los empleados del INE y que la negativa del empleado a facilitar la toma de huella se trataría de un incumplimiento de sus obligaciones de la que podrían derivar responsabilidades disciplinarias. Consta al expediente, una copia del correo electrónico así como del modelo de comunicación Información sobre sistema de control horario basado en huella digital en el cual se especifican los aspectos contemplados en el artículo 5 de la Ley Orgánica 15/1999. - En relación con la denunciante, trabajadora de la Delegación de Navarra, tuvo conocimiento, en fecha 3 de junio de 2013, por medio de correo electrónico que le remite su inmediato superior jerárquico, de la necesidad de que se le tomaran las huellas, que coincide con el aportado por la otra denunciante . Asimismo, se le informa en reiteradas ocasiones, entre otras, las que se describen a continuación. El 7 de junio de 2013, se informó a todos los trabajadores de la Delegación de Navarra, entre los que se encuentra la dirección de la denunciante <........@ine.es>, por medio de correo electrónico en los siguientes términos: INFORMACIÓN SOBRE LOS TERMINALES DE CONTROL HORARIO: Se han instalado en los locales de esta Delegación, unos terminales de control horario por huella digital. El funcionamiento de este sistema conlleva la captura de un par de huellas dactilares del personal de la delegación para asociarla a su tarjeta y que el marcaje de entrada y salida se asocie a la persona. (…). Posteriormente hemos procedido al borrado de todos los datos en espera a que haya sido registrada la base en la Agencia de Protección de Datos. (…). Una vez se produzca esta circunstancia se volverán a grabar las huellas digitales y se podrá iniciar el control horario por el nuevo sistema. Hasta entonces, seguiremos con el actual sistema manual. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/11 El 11 de septiembre de 2013, se informa por correo electrónico a todo el personal de la Delegación de lo siguiente: “Implantación del Sistema de Control Horario, mediante huella digital, en el INE de Navarra Una vez publicada la Resolución del Presidente del INE por la que se crean los ficheros de datos personales del INE, requisito previo obligado para la implantación de este sistema de control horario, se va a proceder a su implantación en la Delegación Provincial del INE en Navarra. Para ello, se van a grabar las huellas del personal de oficina de esta Delegación en la semana del 16 al 20 de septiembre y se realizarán pruebas durante este mes. Podéis acudir para realizar la grabación (…). Consta al expediente archivo: instrucciones_ huella_digital pdf - En relación con la denunciante, trabajadora de la Delegación de Cádiz, en su calidad de Presidenta del Comité de Empresa, en el mes de abril de 2013 y con ocasión de una reunión mantenida entre el Comité de Empresa en pleno y la Delegada Provincial, fue informada directamente por ésta del calendario laboral que se acababa de aprobar y de los pormenores de la inminente implantación del sistema de control horario por huella digital para todos los empleados de la Delegación. Asimismo, se remitió un escrito mediante correo electrónico a todos los empleados de la Delegación, con fecha 26 de septiembre de 2013, a “73” destinatarios entre los que se encuentra la denunciante de la Delegación de Cádiz2 <........1@ine.es>, en el que se informaba de la puesta en marcha del sistema y con el que se adjunta diversa documentación como Información sobre sistema de control horario basado en huella digital. También, el citado documento fue expuesto en el tablón de anuncios del centro de trabajo. Con fecha de 7 de noviembre de 2013, se remite un nuevo mensaje a todos los empleados de la Delegación informando que se terminó el periodo de prueba del control horario (…). - En relación con el denunciante, trabajador de la Delegación de Pontevedra, la información sobre la toma de huellas se realizó de forma verbal, siguiéndose en la Delegación la escala jerárquica. Todo el personal estaba perfectamente informado de su finalidad y mostró su aquiescencia, con excepción del denunciante que se negó a que se tomaran muestras de su huella. Con fecha 26 de junio de 2013, este denunciante presentó un escrito solicitando informe conforme a la legislación vigente que se da respuesta el día 16 de julio de 2013, cuyo contenido coincide con el aportado con el denunciante y se le recogen sus huellas digitales. Por último, con fecha 16 de septiembre de 2013 se comenzó a utilizar en la Delegación de Pontevedra el sistema de control horario mediante huella digital. 3. Como conclusión indican que la totalidad de empleados del INE, previamente a la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/11 recogida de sus huellas digitales, estaba perfectamente informado de su finalidad, que no era otra que la implantación de un nuevo sistema de control horario. Igualmente, los representantes sindicales, como es el caso de la denunciante de Navarra y de la denunciante Cádiz conocían, con antelación al resto de los trabajadores, y con información suficiente la implantación del sistema y los requisitos técnicos y legales exigidos. FUNDAMENTOS DE DERECHO I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.

1. d)en relación con el artículo 36, ambos de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD). II El artículo 3 de la LOPD, establece: “A los efectos de la presente Ley Orgánica se entenderá por:
2. a)Datos de carácter personal: Cualquier información concerniente a personas físicas identificadas o identificables.
3. b)Fichero: Todo conjunto organizado de datos de carácter personal, cualquiera que fuere la forma o modalidad de su creación, almacenamiento, organización y acceso.
4. c)Tratamiento de datos: Operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación, elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias.
5. d)Responsable del fichero o tratamiento: Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento…” El artículo 1 de la LOPD dispone: “La presente Ley Orgánica tiene por objeto garantizar y proteger, en lo que concierne al tratamiento de los datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, y especialmente de su honor e intimidad personal y familiar”. El artículo 2.1 de la LOPD señala: “La presente Ley Orgánica será de aplicación a los datos de carácter personal registrados en soporte físico que los haga susceptibles de tratamiento, y a toda modalidad de uso posterior de estos datos por los sectores público y privado”; definiéndose el concepto de dato de carácter personal en el apartado
6. a)del artículo 3 de la LOPD, como “Cualquier información concerniente a personas físicas identificadas o identificables”. La garantía del derecho a la protección de datos, conferida por la normativa de referencia, requiere que exista una actuación que constituya un tratamiento de datos personales en el sentido expresado. En otro caso las mencionadas disposiciones no serán de aplicación. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/11 El artículo 5.1.
7. f)del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (en lo sucesivo Real Decreto 1720/2007, de 21 de diciembre), define datos de carácter personal como: “Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, concerniente a personas físicas identificadas o identificables”. En este mismo sentido se pronuncia el artículo 2.
8. a)de la Directiva 95/46/CE del Parlamento y del Consejo, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, según el cual, a efectos de dicha Directiva, se entiende por dato personal “toda información sobre una persona física identificada o identificable; se considerará identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un número de identificación o uno o varios elementos específicos, característicos de su identidad física, fisiológica, psíquica, económica, cultural o social”. Asimismo, el Considerando 26 de esta Directiva se refiere a esta cuestión señalando que, para determinar si una persona es identificable, hay que considerar el conjunto de los medios que puedan ser razonablemente utilizados por el responsable del tratamiento o por cualquier otra persona para identificar a aquélla. III El artículo 6 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal dispone: “1. El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa. 2. No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones Públicas en el ámbito de sus competencia; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento.. Los denunciantes son trabajadores del INE. Son datos biométricos aquellos aspectos físicos que, mediante un análisis técnico, permiten distinguir las singularidades que concurren respecto de aquellos de forma que resulta imposible la coincidencia de tales aspectos en dos individuos. Una vez procesados, permiten servir para identificar al individuo en cuestión. Así, se emplean para tales fines las huellas digitales, el iris del ojo o la voz, entre otros. El tratamiento de datos biométricos han sido objeto de estudio por el Grupo de Protección de Datos que se creó en virtud del artículo 29 de la Directiva 95/46/ CE del Parlamento y del Consejo Europeo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. El citado Grupo en el Documento de trabajo sobre biometría adoptado el 1 de agosto de 2003 establece entre sus conclusiones que: “El Grupo opina que la mayor parte de los datos biométricos implican el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/11 tratamiento de datos personales. Por consiguiente, es necesario respetar plenamente los principios de la protección de datos que aparecen en la Directiva 95/46/CE teniendo en consideración, al desarrollar los sistemas biométricos, la especial naturaleza de la biometría, y entre otras cosas su capacidad de recopilar datos biométricos sin el conocimiento del interesado y la casi seguridad del vínculo con la persona. El cumplimiento del principio de proporcionalidad, que constituye el núcleo de la protección garantizada por la Directiva 95/46/CE impone, especialmente en el contexto de la autenticación/comprobación, una clara preferencia por las aplicaciones biométricas que no tratan datos obtenidos a partir de rastros físicos dejados por personas sin darse cuenta o que no se almacenan en un sistema centralizado. Ello permite al interesado ejercer un mejor control sobre los datos personales tratados que le afectan.” IV El artículo 5.1 de la LOPD dispone lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
9. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
10. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
11. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
12. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
13. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante”. El citado artículo 5 de la LOPD se constituye en la premisa necesaria para que el responsable del fichero pueda tratar los datos de carácter personal. Para ello se informa al titular de los datos de modo preciso, expreso e inequívoco de la existencia del fichero así como de su finalidad y de los destinatarios de la información, de la identidad del responsable, del carácter obligatorio o voluntario de las preguntas que les sean formuladas, de las consecuencias de la negativa a suministrar los datos, y de los derechos que reconoce la LOPD al titular de los datos. Por tanto, el principio de información en la recogida de los datos es el presupuesto necesario para que el responsable del fichero pueda tratar los mismos. La razón de esta exigencia viene basada en el principio del consentimiento que es el fundamento básico de la normativa de protección de datos. La Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, al delimitar el contenido esencial del derecho fundamental a la protección de los datos personales, ha considerado el “principio de información” como un elemento indispensable del derecho fundamental a la protección de datos al declarar que: “...el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/11 datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele.” En el presente caso, el INE en el período de diligencias previas ha contestado a los requerimientos de la Agencia remitiendo diversa documentación y ha alegado haber informado legalmente a todos los trabajadores, así como a la representación sindical y legal de los mismos. Centrando la cuestión en los términos de la denuncia, el INE ha acreditado lo siguiente:
14. a)Respecto a la denunciante, trabajadora de la Delegación de Cádiz y Presidente del Comité de Empresa del Ministerio de Economía y Hacienda en el mes de abril de 2013 y con ocasión de una reunión mantenida entre el Comité de Empresa en pleno y la Delegada Provincial, fue informada directamente por ésta del calendario laboral que se acababa de aprobar y de los pormenores de la inminente implantación del sistema de control horario por huella digital para todos los empleados de la Delegación. Y, asimismo, se remitió un escrito mediante correo electrónico a todos los empleados de la Delegación, con fecha 26 de septiembre de 2013, a “73” destinatarios entre los que se encuentra la denunciante de la Delegación de Cádiz <........1@ine.es>, en el que se informaba de la puesta en marcha del sistema y con el que se adjunta diversa documentación como Información sobre sistema de control horario basado en huella digital. También, que el citado documento fue expuesto en el tablón de anuncios del centro de trabajo y con fecha de 7 de noviembre de 2013, se remite un nuevo mensaje a todos los empleados de la Delegación informando que se terminó el periodo de prueba del control horario (…).
15. b)En lo concerniente a la trabajadora de la Delegación del INE en Navarra tuvo conocimiento, en fecha 3 de junio de 2013, por medio de correo electrónico que le remite su inmediato superior jerárquico, de la necesidad de que se le tomaran las huellas, que coincide con el aportado por la otra denunciante .Y, se le informa en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/11 reiteradas ocasiones, entre otras, la que se describe a continuación: El 7 de junio de 2013, se informó a todos los trabajadores de la Delegación de Navarra, entre los que se encuentra la dirección de la denunciante <........@ine.es>, por medio de correo electrónico en los siguientes términos: “INFORMACIÓN SOBRE LOS TERMINALES DE CONTROL HORARIO: Se han instalado en los locales de esta Delegación, unos terminales de control horario por huella digital. El funcionamiento de este sistema conlleva la captura de un par de huellas dactilares del personal de la delegación para asociarla a su tarjeta y que el marcaje de entrada y salida se asocie a la persona. (…). Posteriormente hemos procedido al borrado de todos los datos en espera a que haya sido registrada la base en la Agencia de Protección de Datos. (…). Una vez se produzca esta circunstancia se volverán a grabar las huellas digitales y se podrá iniciar el control horario por el nuevo sistema. Hasta entonces, seguiremos con el actual sistema manual”. También, el 11 de septiembre de 2013, se informa por correo electrónico a todo el personal de la Delegación de lo siguiente: “Implantación del Sistema de Control Horario, mediante huella digital, en el INE de Navarra. Una vez publicada la Resolución del Presidente del INE por la que se crean los ficheros de datos personales del INE, requisito previo obligado para la implantación de este sistema de control horario, se va a proceder a su implantación en la Delegación Provincial del INE en Navarra. Para ello, se van a grabar las huellas del personal de oficina de esta Delegación en la semana del 16 al 20 de septiembre y se realizarán pruebas durante este mes. Podéis acudir para realizar la grabación (…)”.
16. c)Por último, en relación con el tercer denunciante, trabajador de la Delegación de Pontevedra, con fecha 26 de junio de 2013, presentó un escrito solicitando informe conforme a la legislación vigente, dándosele respuesta el día 16 de julio de 2013, cuyo contenido coincide con el por él aportado y da su conformidad a que se le se le recojan las huellas digitales. La operativa documentada por el INE lleva a concluir que los denunciantes, así como los representantes sindicales y el resto de trabajadores el INE fueron informados previamente y con carácter general de la gradual implantación del sistema de la toma de la huella dactilar y de su finalidad, siendo de señalar la complejidad de la difusión puntual en un organismo con implantación a nivel nacional. La implantación del sistema de control horario por “huella dactilar” en el INE fue gradualmente implantado en las delegaciones de acuerdo con el número de trabajadores afectados y el Real Decreto 1720/2007, de 21 de diciembre, de por el que se aprueba el RLOPD en su artículo 94. 4, recoge “ las pruebas anteriores a la implantación de los sistemas de información que traten ficheros con datos de carácter personal no se realizaran con datos reales salvo que se asegure el nivel de seguridad correspondiente al tratamiento realizado y se anote su realización en el documento de seguridad” . Así, la actual denunciante, trabajadora de del INE en Cádiz y representante sindical fue informada en el mes de abril de 2013 y el resto de los trabajadores el 26 de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/11 septiembre de 2013, implantado el sistema. La denunciante trabajadora del INE en Navarra fue informada el 3 de junio de 2013 y el resto de trabajadores el 7 de junio y 11 de septiembre de 2013. Y el denunciante, trabajador del INE en Pontevedra autorizó se le tomase la huella dactilar en julio de 2013. VI El INE tiene inscrito en el Registro General de Protección de Datos los fichero de “ Control Horario” correspondientes a las provincias de Cádiz, Navarra y Pontevedra en los que se prevé el tratamiento de dato de la “ huella dactilar” Ha de tenerse en cuenta el criterio de la Audiencia Nacional recogido en su sentencia estimatoria de 4/03/210 en el Recurso contencioso administrativo 234/2008, frente a una resolución de esta Agencia, en un procedimiento de infracción de Administración Pública por infracción del art. 20 por tratamiento de datos biométricos, que en su Fundamento Quinto establece: <<…Ahora bien, la parte actora ha aportado como documento número 15 con su escrito de demanda, una resolución de archivo de actuaciones recaída a un escrito de una Central Sindical que denunciaba al citado Ayuntamiento por la implantación de un sistema de control de presencia a través de la captura de la huella dactilar, que no habría sido aprobado por la correspondiente disposición de carácter general. El citado Ayuntamiento tenía inscrito un fichero denominado "Datos personales de los trabajadores", que contiene los datos personales de los trabajadores, siendo su finalidad y uso el de gestión de "Gestión de personal", por lo que la citada resolución considera que no se ha infringido el artículo 20 LOPD, sin perjuicio de que al haber añadido el Ayuntamiento las huellas dactilares que no aparecen contempladas en los citados datos identificativos, debe proceder a la mayor brevedad posible a adaptar la Orden de creación del fichero a su nueva estructura y a inscribir la citada modificación en el RGPD (…) De todo lo cual se desprende que aunque resultaba conveniente actualizar el fichero NFBÁSICO, como así se hizo, para recoger expresamente que entre sus finalidades se encontraba la de control horario mediante la captación de datos biométricos, existe cobertura, como vino a reconocer la AEPD en el precedente citado al acordar el archivo de las actuaciones, lo que en el caso concreto, además, excluiría la culpabilidad de la recurrente, que en la actualidad tiene ya los citados ficheros actualizados mediante disposición general del Ministerio de Fomento. Por otro lado, si no se llevó a cabo la actualización con anterioridad no fue por causa imputable a la APB, como ya se ha expuesto, circunstancia que debe valorarse a la hora de no apreciar falta de culpabilidad en su actuación…>> Por lo tanto, de acuerdo con lo señalado, Por el Director de la Agencia Española de Protección de Datos, SE ACUERDA: 1. PROCEDER AL ARCHIVO de las presentes actuaciones. 2. NOTIFICAR la presente Resolución al INSTITUTO NACIONAL DE ESTADISTICA y a D.ª A.A.A.. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/11 De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el Reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante el Director de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Sin embargo, el responsable del fichero de titularidad pública, de acuerdo con el artículo 44.1 de la citada LJCA, sólo podrá interponer directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la LJCA, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es