1/16 Procedimiento Nº: E/05310/2020 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por A.A.A. (en adelante, la reclamante) tiene entrada en la Agencia Española de Protección de Datos el 18/12/2019 y se dirige contra la ASOCIACIÓN DEL COLEGIO ALEMAN DE BILBAO, con NIF G48064836 (en adelante, la reclamada). La reclamante manifiesta que en el Colegio que dirige la reclamada en Bilbao se ha implantado el sistema de la huella dactilar como método de fichaje horario a la entrada y salida para los empleados (añade que no se aplica a todas las categorías de empleados). Considera que son datos desproporcionados, no necesarios para el cumplimiento de la obligación, indicando que fallan las medidas de seguridad dando lugar a la identificación de otro trabajador, si bien no aporta acreditación, y desproporcionados pues existen medidas menos intrusivas como la implantación de una tarjeta. Finaliza indicando que dos empleados han sido sancionados por negarse a fichar con este sistema y uno de ellos lo ha llevado a sede social. Aporta un artículo que habla sobre la legalidad del sistema de registro digital de huella. No se contiene fecha de referencia del escrito, y ofrece sus sistemas de relojes especiales, constando “JPG RELOJERIA INDUSTRIAL”. En el artículo, se informa que “no utilizan Imágenes de huellas sino descripciones de puntos denominados minucias. Aporta como ejemplo dos huellas- distintas para explicar que: “Cuando se registra una persona en un reloj de fichar lo que se realiza desde la detección de ciertas características del dibujo de la huella, conocidas como minucias, y qué pueden ser de varios tipos: bifurcaciones terminaciones, bucles, etcétera.” Continúa informando que: “En la base de datos del sistema no se guarda la imagen original de la huella, sino un patrón que contiene la posición y tipo de las minucias. Cuando se registra una persona en un reloj de fichar, lo que se realiza es la detección de ciertas características del dibujo de la huella conocidas como minucias y que pueden ser de varios tipos: bifurcaciones, terminaciones bucles, etcétera “. En la imagen del ejemplo con dibujos de huellas, “se muestran los patrones con algunas de las minucias detectadas en cada huella, y el sistema no guarda la imagen original de la huella sino un patrón que contiene la posición y tipo de las minucias. Se observa que es imposible reconstruir el dibujo original de las huellas a partir de las minucias y que las personas podrían llegar a tener el mismo patrón aunque la probabilidad es baja.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 Indica que “los datos están codificados en formato no estándar y que es imposible su utilización fuera del ámbito de los sistemas de control horario”. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), en escrito de 18/02/2020 se dio traslado de dicha reclamación a la reclamada, para que procediese a su análisis e informase a esta Agencia, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. La reclamada informó el 1/06/2020, en relación con la reclamación: A-Según el escrito de la reclamada y que también firma el Delegado de Protección de Datos (IKAL ASESORES S.L.) de 13/03/2020, se indica que el sistema de fichaje a través de huella digital implantado en el colegio tiene: -Como base legitimadora el cumplimiento de una obligación legal como es la que se prevé del control horario de empleados en el artículo 10 del Real decreto ley 8/2019, de 8/03, medidas urgentes de protección social y de lucha contra la precariedad laboral en la jornada de trabajo, BOE 12 de marzo 2019: “La empresa garantizará el registro diario de jornada, que deberá incluir el horario concreto de inicio y finalización de la jornada de trabajo de cada persona trabajadora, sin perjuicio de la flexibilidad horaria que se establece en este artículo. Mediante negociación colectiva o acuerdo de empresa o, en su defecto, decisión del empresario previa consulta con los representantes legales de los trabajadores en la empresa, se organizará y documentará este registro de jornada. La empresa conservará los registros a que se refiere este precepto durante cuatro años y permanecerán a disposición de las personas trabajadoras, de sus representantes legales y de la Inspección de Trabajo y Seguridad Social.» -Se recogen datos parciales de la huella dactilar que tienen almacenados en cuatro terminales, encriptados. El acceso al sistema se efectúa mediante asignación a persona autorizada. -Identifica el nombre de una empleada que señala: “no ha prestado el consentimiento a este tipo de tratamiento y de la que no se usan este tipo de datos”, manifestando: “con la cual existe un contencioso judicial en vía de lo social”. Indica que no consta trabajador que haya ejercido el derecho de oposición. -El software y el hardware se contrataron con la empresa JPG RELOJERIA INDUSTRIAL, con la que suscribieron un contrato de encargo de tratamiento. - En mayo del 2019, se empezó a informar a los trabajadores con vistas a la implan tación del sistema, que fue efectivo en junio 2019, afectando a unos 100 trabajadores, y figurando cuatro personas con acceso a esos datos para su gestión y control. – Aporta copia del documento de confidencialidad y seguridad del tratamiento e información que se entrega a empleados que tratan los datos de gestión del colegio con acceso a datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 -Tienen establecido un registro de actividad de tratamiento. -Manifiesta que existe un protocolo o manual de seguridad en el que se relacionan las medidas técnicas aplicables a la seguridad, las copias de seguridad y la gestión de incidencias en la seguridad de los datos personales; Indica que hasta el momento no ha habido ningún incidente. Señala que “los datos personales disponibles en los terminales-datos parciales de huella dactilar-están totalmente cifrados y nadie los puede leer”. Aporta como anexo, copia parcial de documento, conteniéndose el nombre de DOCUMENTO DE SEGURIDAD, abarcando epígrafes de 1 “Ciclo de vida de la actividad del tratamiento”, 2 “Descripción de la actividad del tratamiento”, 3 “Evaluación necesidad de EIPD”, y 4 “Análisis básico de riesgos”, ver EIPD. -Aporta copia de documento de EVALUACIÓN DE IMPACTO (29 folios) aprobado en mayo del 2019, limitado a la sede del Colegio en Bilbao, desconociendo si en otras ciudades se utiliza el mismo sistema. En el documento no se señala nada al respecto de otras sedes. Figuran los datos del responsable de seguridad y como delegado de protección de datos IKAL ASESORES SL. Se indica que el tratamiento de parte de la huella no entraña alto riesgo, que “no está incluido entre los que requieren evaluación de impacto de protección de datos en el artículo 35.3 del RGPD “”por lo que se evalúa la necesidad según la directriz 248 del Grupo de trabajo 29, de 4/04/2017 revisada el 4/10/2017”, “en este caso se seguirá el criterio para determinar si existe un elevado riesgo inherente a las actividades de tratamiento y qué se deben evaluar y pueden determinar la necesidad de realizar una EIPD, considerando de manera genérica, que aquellos tratamientos que cumplen dos o más de los presentes criterios deben disponer de una EIPD.” Y aquí como tratamiento relacionado con datos confidenciales o de naturaleza altamente personal, relativos a personas vulnerables y su uso es innovador o aplica nuevas tecnologías.” Se mencionan los principios básicos de gestión de riesgos, se indica que la gestión del dato del fichaje se conecta con la gestión de nóminas de personal y recursos humanos y se contienen menciones a los riesgos específicos a la integridad, y la disponibilidad, ciclo de vida de los datos, y a la necesidad y la proporcionalidad del sistema. “Sistema de tratamiento: datos alojados en los terminales lectores de huella dactilar”. Plazos previstos para la supresión: “Los datos parciales de la huella dactilar son conservados únicamente en el periodo en el que se mantiene la relación laboral con el trabajador suprimiéndose a la finalización de dicha relación laboral. Los datos que constituyen el registro de jornada forman parte de la actividad de tratamiento para la gestión de nóminas personal y recursos humanos y son conservados por el tiempo legal de 4 años “. A partir del punto 3 desarrolla: -Análisis de la necesidad de evaluación, considerando que su tratamiento cumple dos o más de los presentes criterios deben disponer de una EIPD.” Acompaña un cuadro de gestión con casillas a marcar, en un bloque, denominado “características de las actividades de los tratamientos” y figura una marca x en “datos confidenciales o de naturaleza altamente personal”, otra en “datos relativos a las personas vulneC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 rables” y otra en “uso innovador de aplicación de nuevas soluciones tecnológicas u organizativas”. En el apartado número de tratamientos: 3 y una marca x en requiere EIP: SI. A continuación detalla en estudio previo los apartados de: -ciclo de vida de tratamiento, con: - La captura de los datos: reiterando que “tras el consentimiento informado del trabajador “se toman los datos, “que son alojados en todas las terminales lectoras”. -Clasificación almacenamiento: Indica que se almacena un patrón, que contiene ciertas minucias de la huella, encriptado y alojado en la base de datos de cada terminal lectora. “Esa Información procedente de la terminal lectora, nombre, apellidos, hora de inicio o fin de jornada laboral se traslada a una herramienta de gestión con la finalidad de realizar el tratamiento de datos de nóminas personal y recursos humanos. Esa herramienta de gestión se encuentra alojada en el servidor de administración y únicamente tiene acceso a personal con privilegios para ello”, 4 personas. -Uso-tratamiento: Control de la jornada laboral que exige el Real decreto ley 8/2019. -Sobre la necesidad y proporcionalidad del sistema implantado: Lo relaciona con la limitación de finalidad y la minimización de datos y plazo de conservación. Finaliza la evaluación con un cuadro “riesgo inherente”, “riego residual con valores y referencias “ y probabilidad/impacto. -Aporta copia de documento de consentimiento a cada empleado en el que se indica que es para el cumplimiento de la relación laboral que vincula a ambas partes y para dar cumplimiento a la obligación establecida del real decreto ley 8-2019 de 8/03/2019. Se informa de los derechos a ejercer, solicitando el consentimiento expreso a través de la firma del escrito sobre el dato huella dactilar, de conformidad con el artículo 9 del RGPD, dato con categoría especial. TERCERO: Con fecha 9/06/2020, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 II Hay que señalar que los datos biométricos están estrechamente vinculados a una persona, dado que pueden utilizar una determinada propiedad única de un individuo para su identificación o autenticación. Según el Dictamen 3/2012 sobre la evolución de las tecnologías biométricas, “Los datos biométricos cambian irrevocablemente la relación entre el cuerpo y la identidad, ya que hacen que las características del cuerpo humano sean legibles mediante máquinas y estén sujetas a un uso posterior.” En relación con ellos, el Dictamen precisa que cabe distinguir diversos tipos de tratamientos al señalar que “Los datos biométricos pueden tratarse y almacenarse de diferentes formas. A veces, la información biométrica capturada de una persona se almacena y se trata en bruto, lo que permite reconocer la fuente de la que procede sin conocimientos especiales; por ejemplo, la fotografía de una cara, la fotografía de una huella dactilar o una grabación de voz. Otras veces, la información biométrica bruta capturada es tratada de manera que solo se extraen ciertas características o rasgos y se salvan como una plantilla biométrica.” Los datos biométricos los define el artículo 4.14 del RGPD: «datos biométricos»: datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos; Hay que señalar que el RGPD no parece considerar a todo tratamiento de datos biométricos como tratamiento de categorías especiales de datos, ya que el artículo 9.1. se refiere a los “datos biométricos dirigidos a identificar de manera unívoca a una persona física”. En el original en versión inglesa se señala: “biometric data for the purpose of uniquely identifying a natural person”. Una interpretación conjunta de ambos preceptos parece dar a entender que los datos biométricos solo constituirían una categoría especial de datos en el caso de que se sometan a un tratamiento técnico específico dirigido a identificar de manera unívoca a una persona física. En este sentido, parece que igualmente se pronuncia el Considerando 51 al señalar que “El tratamiento de fotografías no debe considerarse sistemáticamente tratamiento de categorías especiales de datos personales, pues únicamente se encuentran comprendidas en la definición de datos biométricos cuando el hecho de ser tratadas con medios técnicos específicos permita la identificación o la autenticación unívocas de una persona física”. Si bien el original en ingles, señala: “The processing of photographs should not systematically be considered to be processing of special categories of personal data as they are covered by the definition of biometric data only when processed through a specific technical means allowing the unique identification or authentication of a natural person.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 Con igual criterio, el Protocolo de enmienda al Convenio para la Protección de Individuos con respecto al procesamiento de datos personales, aprobada por el Comité de Ministros en su 128º período de sesiones en Elsinore el 18/05/2018 (Convenio 108) incluye únicamente como categorías especiales de datos, en su artículo 6.1 a los datos biométricos dirigidos a la identificación unívoca de una persona (“biometric data uniquely identifying a person”), sin incluir la referencia a la autenticación. El Grupo del artículo 29 (GT 29, WP en inglés), fue hasta la entrada en vigor del RGPD un órgano consultivo independiente de la Unión Europea en materia de protección de datos e intimidad creado en virtud de lo previsto en el citado artículo de la Directiva 95/46/CE del Parlamento y del Consejo, de 24/10/1995, relativa a la Protección de las Personas Físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. Sus funciones se describían en el artículo 30 de la Directiva 95/46/CE y en el artículo 15 de la Directiva 2002/58/CE. Con la entrada en vigor del artículo 94.2 del RGPD que deroga la directiva 95/46 se indica expresamente “Toda referencia a la Directiva derogada se entenderá hecha al presente Reglamento. Toda referencia al Grupo de protección de las personas en lo que respecta al tratamiento de datos personales establecido por el artículo 29 de la Directiva 95/46/CE se entenderá hecha al Comité Europeo de Protección de Datos (CEPD) establecido por el presente Reglamento.” El CEPD tiene como objetivo garantizar la aplicación coherente del Reglamento General de Protección de Datos. Puede entre otras competencias, adoptar directrices generales para clarificar los términos de la legislación europea de protección de datos, proporcionando a todas las partes interesadas una interpretación coherente de sus derechos y obligaciones. Al objeto de aclarar las dudas interpretativas que surgen respecto a la consideración de los datos biométricos como categorías especiales de datos puede acudirse a la distinción entre identificación biométrica y verificación/autenticación biométrica que establecía GT 29, en su Dictamen 3/2012 sobre la evolución de las tecnologías biométricas: “Identificación biométrica: la identificación de un individuo por un sistema biométrico es normalmente el proceso de comparar sus datos biométricos (adquiridos en el momento de la identificación) con una serie de plantillas biométricas almacenadas en una base de datos (es decir, un proceso de búsqueda de correspondencias uno-a-varios). Verificación/autenticación biométrica: la verificación de un individuo por un sistema biométrico es normalmente el proceso de comparación entre sus datos biométricos (adquiridos en el momento de la verificación) con una única plantilla biométrica almacenada en un dispositivo (es decir, un proceso de búsqueda de correspondencias uno-a-uno).” Esta misma diferenciación se recoge en el Libro blanco sobre la inteligencia artificial de la Comisión Europea: “En lo que se refiere al reconocimiento facial, por «identificación» se entiende que la plantilla de la imagen facial de una persona se compara con otras muchas plantillas almacenadas en una base de datos para averiguar si su imagen está almacenada en ella. La «autenticación» (o «verificación»), por su parte, se refiere habitualmente a la búsqueda de correspondencias entre dos plantillas concretas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16 Permite la comparación de dos plantillas biométricas que, en principio, se supone que pertenecen a la misma persona; así, las dos plantillas se comparan para determinar si la persona de las dos imágenes es la misma. Este procedimiento se emplea, por ejemplo, en las puertas de control automatizado de fronteras empleadas en los controles fronterizos de los aeropuertos”. Atendiendo a la citada distinción, puede interpretarse que, de acuerdo con el artículo 4 del RGPD, el concepto de dato biométrico incluiría ambos supuestos, tanto la identificación como la verificación/autenticación. Sin embargo, y con carácter general, los datos biométricos únicamente tendrán la consideración de categoría especial de datos en los supuestos en que se sometan a tratamiento técnico dirigido a la identificación biométrica (uno-a-varios) y no en el caso de verificación/autenticación biométrica (uno-a-uno). En el presente supuesto, inicialmente se trataría de una identificación uno-varios pues se introduce la huella que confronta con los datos almacenados en una base de datos, donde figuran las del resto de empleados, sin que conste una modalidad adicional extra de autenticación. Por poner un ejemplo similar comprensible, la extracción de efectivo de un cajero con una tarjeta, al introducir la tarjeta sería la identificación, que pone en marcha el sistema y reconoce al usuario. Al pedir e introducir el PIN, sería la verificación o autenticación a través de la cual el sistema reconoce que el usuario es quien dice ser y da el permiso para efectuar la operación. En este supuesto se produce cada vez que se ficha de entrada o salida en el Colegio, una identificación con la confrontación entre la huella que pone el empleado y la que guarda la base de datos, contrastando la introducida a cada momento, contra el resto de las huellas que guarda sistema-en este caso las de todos los trabajadores, y en este caso algoritmos de la huella. El tratamiento de estos datos está expresamente permitido por el RGPD cuando el empresario cuenta con una base jurídica. A este respecto, la STS, sala de lo contencioso administrativo, sección 7, de 2/07/2007 (Recurso 5017/2003), sobre sistema de control horario en una administración pública, analiza que ha entendido legitimo el tratamiento de los datos biométricos que realiza la Administración para el control horario de sus empleados públicos, sin que sea preciso el consentimiento previo de los trabajadores. indicando en su fundamento de derecho séptimo: “Desde luego, la finalidad perseguida mediante su utilización es plenamente legítima: el control del cumplimiento del horario de trabajo al que vienen obligados los empleados públicos. Y, en tanto esa obligación es inherente a la relación que une a estos con la Administración Autonómica, no es necesario obtener previamente su consentimiento ya que el artículo 6.2 de la Ley Orgánica 15/1999 lo excluye en estos casos. Además, no parece que la toma, en las condiciones expuestas, de una imagen de la mano incumpla las exigencias de su artículo 4.1. Por el contrario, puede considerarse adecuada, pertinente y no excesiva.” Sin embargo, debe tenerse en cuenta lo siguiente: El trabajador debe ser informado sobre estos tratamientos. Deben respetarse los principios de limitación de la finalidad, necesidad, proporcionalidad y minimización de datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 En todo caso, el tratamiento también deberá ser adecuado, pertinente y no excesivo en relación con dicha finalidad. Por tanto, los datos biométricos que no sean necesarios para esa finalidad deben suprimirse y no siempre se justificará la creación de una base de datos biométricos (Dictamen 3/2012 del GT 29). Uso de plantillas biométricas: Los datos biométricos deberán almacenarse como plantillas biométricas siempre que sea posible. La plantilla deberá extraerse de una manera que sea específica para el sistema biométrico en cuestión y no utilizada por otros responsables del tratamiento de sistemas similares a fin de garantizar que una persona solo pueda ser identificada en los sistemas biométricos que cuenten con una base jurídica para esta operación. El sistema biométrico utilizado y las medidas de seguridad elegidas deberán asegurarse de que no es posible la reutilización de los datos biométricos en cuestión para otra finalidad. Deberán utilizarse mecanismos basados en tecnologías de cifrado, a fin de evitar la lectura, copia, modificación o supresión no autorizadas de datos biométricos. Los sistemas biométricos deberán diseñarse de modo que se pueda revocar el vínculo de identidad. Deberá optarse por utilizar formatos de datos o tecnologías específicas que imposibiliten la interconexión de bases de datos biométricos y la divulgación de datos no comprobada. Los datos biométricos deben ser suprimidos cuando no se vinculen a la finalidad que motivó su tratamiento y, si fuera posible, deben implementarse mecanismos automatizados de supresión de datos. III En el presente caso, la reclamada ha implantado un sistema de gestión para registro de jornada laboral de sus trabajadores mediante huella dactilar. Hay que señalar que la legitimación para el tratamiento de la huella para el acceso y control horario de los trabajadores por parte del empleador debemos buscarlo en el artículo 9 y 6 del RGPD. El artículo 9 del RGPD establece en sus apartados 1 y 2.
Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.