1/6 Expediente Nº: E/07456/2013 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos ante el INSTITUTO DE ESTADISTICA Y CARTOGRAFIA DE ANDALUCIA en virtud de denuncia presentada por D. C.C.C. y teniendo como base los siguientes HECHOS PRIMERO: Con fecha de 21 de junio de 2012, tuvo entrada en la Agencia Española de Protección de Datos –AEPD- un escrito remitido por D. C.C.C. (en adelante denunciante), como Delegado de Personal por CCOO, en el que denuncia al Instituto de Estadística y Cartografía de Andalucía (en adelante IECA) manifestando que en la implantación del Sistema de Control Horario, de entrada y salida, mediante tarjeta de radio frecuencia –RFID-, no se informó de los datos del fichero, ni de la tecnología a utilizar, simplemente se informó de los cambios de funcionamiento del sistema en general. El Director de la AEPD dictó Resolución, con fecha de 15 de noviembre de 2012, en el sentido de no incoar actuaciones previas de inspección, al no existir indicios probatorios suficientes del hecho denunciado. SEGUNDO: En fecha de 18 de diciembre de 2012 el denunciante presentó Recurso de Reposición contra la precitada Resolución, que fue resuelto por Resolución, de fecha 8 de marzo de 2013, en el sentido de desestimar las pretensiones invocadas por el recurrente, sin embargo, a pesar de la falta de pruebas suficientes aportadas que acrediten los hechos denunciados, se recoge que esta Agencia procederá a investigar las implicaciones del nuevo Sistema de Control Horario con tecnología de radiofrecuencia en relación con el derecho a la protección de datos. A tal efecto se abrieron las actuaciones de investigación con referencia, E/01331/2013. Con fecha de 11 de diciembre de 2013, el Director de la AEPD acuerda declarar caducadas, las actuaciones previas de investigación con referencia E/01331/2013 e iniciar nuevas actuaciones de investigación con referencia E/07456/2013. TERCERO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos denunciados, teniendo conocimiento de los siguientes extremos: 1. En el Registro General de Protección de Datos figura inscrito el fichero denominado “GESTION DE PERSONAL”, con el código ***CÓD.1, siendo responsable el Instituto de Estadística y Cartografía de la Junta de Andalucía y cuya finalidad es “gestión de personal, seguimiento y control del cumplimiento horario de trabajo, (…)”. 2. Del análisis de la documentación presentada por el denunciante ante esta AEPD podemos destacar la Resolución del Defensor del Pueblo Andaluz, de fecha 21 de noviembre de 2012, en relación con la tramitación de la queja formulada por el denunciante en la que manifiesta los mismos hechos que los comunicados ante esta C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/6 AEPD, en la que se indica, entre otros, lo siguiente: A principios de 2009, el Instituto de Estadística lleva a cabo la sustitución del sistema de control horario de sus empleados públicos estableciendo una nueva tecnología que cambió las condiciones existentes hasta entonces. El establecimiento de esta nueva tecnología, basada en la identificación por radiofrecuencia RFID se notificó al personal por correo electrónico del Negociado de Personal indicando la necesidad de registrar una tarjeta, en el nuevo sistema. Del sistema impuesto, denominado CRONO, sólo se han dado instrucciones de uso y variaciones sin informar respecto a la tecnología en que se apoya. La tarjeta que se utiliza en el Instituto de Estadística dispone de un código único de carácter universal que se vincula o indexa biunívocamente con los datos del usuarioempleado ubicados en el terminal; cada acto de relación de la tarjeta con el terminal se guarda en una memoria temporal que se vuelca a intervalos a la Base de Datos última y general en la que se guardan sus datos personales. El denunciante no ha recogido su tarjeta ni se le ha obligado a ello (…). Por tanto, la Ley Orgánica 15/1999, de 13 de diciembre de Protección de Datos de Carácter Personal (LOPD) es directamente aplicable a las RFID y con ello cada uno de los principios, derechos y obligaciones que regula. Los afectados, -como clientes, trabajadores y en general cualquier persona cuya información se indexe mediante el uso directo o indirecto de esta tecnología- deberán ser informados de la existencia del tratamiento en los términos del artículo 5 LOPD. 3. El Instituto de Estadística ha informado a la Inspección de Datos, con fecha de 6 de marzo de 2014, en relación con el Sistema de Control Horario mediante tarjeta de radio frecuencia RFID lo siguiente: Que siendo la fecha de la denuncia de 15 de junio de 2012, y habiendo transcurrido, por tanto, un plazo superior a doce meses desde que tuvo entrada la misma en la AEPD, ha vencido el plazo previsto en el artículo 122.4 del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal, para dictar y notificar el acuerdo de inicio de procedimiento sancionador, debiendo entenderse por tanto caducadas tales actuaciones previas. No obstante, informan en relación con los hechos denunciados que, con fecha 21 de marzo de 2013, se trasladó, mediante correo electrónico, a todo el personal que prestaba servicios en el Instituto de Estadística una Nota Informativa e Instrucciones en relación con los terminales de picaje de control horario, donde se proporcionaba al citado personal la posibilidad de optar por un sistema alternativo de tarjeta de control de presencia con banda magnética, que conviviría con el vigente hasta esa fecha, que utilizaba la tecnología RFID. En la citada Nota se informaba de lo siguiente: La Secretaría General pone en conocimiento del personal del Instituto de Estadística y Cartografía de Andalucía, que a partir de este momento se procederá a poner en servicio en el mismo terminal de picaje, un sistema alternativo de tarjeta de control de presencia con banda magnética, que convivirá con el actual que utiliza la tecnología RFID, debiendo el usuario optar por un sistema u otro según las instrucciones que más abajo se detallan. Dicha medida ha sido adoptada atendiendo las sugerencias del Defensor del Pueblo Andaluz en Resolución de 21 de noviembre de 2012, sobre denuncia, realizada por un funcionario con destino en este Instituto, ante una presunta vulneración del derecho C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/6 fundamental de igualdad, en el establecimiento del sistema de control de jornadas y horarios mediante identificación por radiofrecuencia (RFID). Este Instituto puso de manifiesto ante dicha Institución el informe emitido por el Director General de Tecnologías para Hacienda y la Administración Electrónica, de fecha 25 de enero de 2012, que no deja lugar a dudas sobre el cumplimiento escrupuloso por parte de este Instituto de la legislación vigente, afirmando el citado informe, en relación con la tarjeta RFID utilizada en el caso que nos afecta, que “se trata pues de una tecnología homologada por la Administración Autonómica para uso en sus dependencias” y concluyendo, con conocimiento de la Guía sobre seguridad y privacidad de la tecnología RFID, que “el uso de este tipo de tecnología en las condiciones autorizadas no implican riesgo alguno ni para la salud ni en relación con la seguridad sobre protección de datos de carácter personal”. No obstante lo anterior, este Instituto en su más firme voluntad de atender todo tipo de sugerencias y observaciones realizadas por la citada Institución, siempre en beneficio de la mejora del funcionamiento de la Administración Pública, ha resuelto implantar un nuevo sistema alternativo al existente, a elección del usuario, con tarjeta de banda magnética. Asimismo se pone en conocimiento de los usuarios de las tarjetas de control de presencia (tanto la actual como la que contiene banda magnética exclusivamente), que la información contenida en las mismas se reduce a un código aleatorio asignado a cada persona usuaria, que tras su lectura por el terminal de picaje, se asocia al fichero de CRONO, como parte del fichero “Gestión de Personal”. Este último fichero, en cumplimiento de la Ley Orgánica 15/1999, fue dado de alta en la Agencia Española de Protección de Datos, mediante Orden de 7 de marzo de 2008, de la Consejería de Economía y Hacienda, teniendo la recogida y tratamiento de sus datos como finalidad, el seguimiento y control del cumplimiento del horario de trabajo, solicitud de vacaciones y permisos, control de gastos de dietas y valoración del complemento de productividad y siendo el responsable del fichero el Instituto de Estadística. Por último se informa que la tarjeta que incorpora únicamente banda magnética, al igual que la actual con tecnología RFID, contendrá un chip contenedor para el certificado digital del usuario que quiera hacer uso de él. Siguiendo tales Instrucciones, el Servicio de Personal, Gestión Económica y Presupuestos se puso en contacto con aquellas personas, que siendo personal del Instituto de Estadística, no dispusieran de tarjeta, como era el caso del denunciante y, con fecha 1 de abril de 2013, se le hizo entrega de la tarjeta de banda magnética, por la que optó en documento firmado, en el que se le informaba de lo siguiente: En relación con la información contenida en dichas tarjetas se le informa que los datos contenidos en las mismas se reducen a un código aleatorio que se le asigna (en fábrica para el chip RFID o bien por el Servicio de Personal en la banda magnética), y que tras su lectura por el terminal de picada se asocia internamente al usuario en la aplicación CRONO, como parte integrante del fichero “Gestión de Personal”, dado de alta en la Agencia Española de Protección de Datos, estando la diferencia en que en la tarjeta con tecnología RFID se captura el código aproximando la tarjeta al lector a través de radiofrecuencia y con la banda magnética se hace por contacto directo arrastrando la tarjeta a través del lector. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/6 I Es competente para resolver el Director de la Agencia Española de Protección de Datos, conforme a lo establecido en el artículo 37.
Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.