E-11428-2021

1/9  Expediente N.º: E/11428/2021 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes: HECHOS PRIMERO: Don A.A.A. (en adelante, la parte reclamante), con fecha 8 de junio de 2021, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra el TRIBUNAL CONSTITUCIONAL (en adelante, la parte reclamada o TC). La reclamación expone lo siguiente: “Hoy 8.6.21 al acudir al TC a presentar un recurso de amparo como abogado, VEO QUE ME PONEN FRENTE A UNA CAMARA diciendo que era para tomar la temperatura, pero veo que la cosa va más allá y es una pantalla de RECONOCIMIENTO BIOMETRICO SIN QUE SE OFREZCA NINGUNA ADVERTENCIA NI EXPLICACION NI INFORMACION EN PANEL ALGUNO o sea que "se han quedado con mi cara en términos biométricos" sin decirme la base legal de tan extremada injerencia en mi intimidad, sin base legal para hacer una cosa así, lo curioso es que acudo a presentar un amparo contra la ley orweliana de violación de datos de 2021 de mayo pasado, y veo que le estoy confiando la custodia de mis ovejas a un lobo que son orwelianos estos del TC, en fin que se guían por su voluntad libérrima de modo que, qué clase de imparcialidad y ejemplaridad ofrecen. Denuncio al TC por este motivo, uso desproporcionado y sin base legal de cámara que obtiene una biometría de la cara (no es una simple foto). SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada/ ALIAS, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 1 de julio de 2021, como consta en el acuse de recibo que obra en el expediente. Con fecha 15 de julio de 2021, se recibe en esta Agencia escrito de respuesta indicando, en síntesis, lo siguiente:

1. Que con el fin de proteger la salud de sus empleados y de terceros ante el riesgo de contagios a causa del COVID-19, han establecido la entrada a su sede un sistema de control de temperatura corporal y de colocación de mascarilla. Que el acceso a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/9 la institución queda vedado, en principio a quienes superen la temperatura corporal establecida o no porten la mascarilla correctamente colocada.
2. Que dicho sistema técnico se encuentra operativo desde el 8 de julio del
4. Que “El Tribunal Constitucional está en cualquier caso plenamente legitimado para solicitar a los visitantes que pretenden acceder a su sede que porten mascarilla y asimismo para tomarles la temperatura corporal, a efectos de proteger la salud de sus empleados y de terceros ante el riesgo de contagios a causa del COVID-19, vedando el acceso a quienes presenten sintomatología compatible con el COVID-19, se nieguen a someterse a la medición de temperatura corporal, o a portar la mascarilla correctamente colocada sobre boca y nariz. El uso obligatorio de mascarillas para las personas mayores de seis años en cualquier espacio cerrado de uso público o que se encuentre abierto al público ya fue impuesto por el artículo 6 del Real Decreto-ley 21/2020, de 9 de junio, y luego por el artículo 6 de la Ley 2/2021, de 29 de marzo, de medidas urgentes de prevención y coordinación para hacer frente a la crisis sanitaria ocasionada por el COVID-19 (recientemente modificada por el Real Decreto-ley 13/2021, de 24 de junio). Por su parte, la medición de temperatura corporal, a fin de verificar que la persona que pretende acceder a las dependencias del Tribunal Constitucional no presenta fiebre (uno de los síntomas compatibles con el COVID-19), cuenta asimismo con la necesaria cobertura legal, al amparo de las normas aprobadas por el legislador español para enfrentarse a situaciones de riesgo sanitario, como la Ley Orgánica 3/1986, de 14 de abril, de medidas especiales en materia de salud pública, en particular, lo dispuesto en su artículo 3; el artículo 26 de la Ley 14/1986, de 25 de abril, general de sanidad; o el artículo 54 de la Ley 33/2011, de 4 de octubre, general de salud pública. Asimismo hay que tener en cuenta, entre otras normas, el Real Decreto-ley 6/2020, de 10 de marzo, por el que se adoptan determinadas medidas urgentes en el ámbito económico y para la protección de la salud pública, y el Real Decreto-ley 21/2020, de 9 de junio, de medidas urgentes de prevención y coordinación para hacer frente a la crisis sanitaria ocasionada por el COVID- 19, que fue derogado y sustituido por la Ley 2/2021 , de 29 de marzo, de medidas urgentes de prevención y coordinación para hacer frente a la crisis sanitaria ocasionada por el COVID-19, recientemente modificada a su vez por el Real Decreto-ley 13/2021, de 24 de junio. A lo anterior cabe añadir lo dispuesto en los artículos 14 y ss de la Ley 31/1995, de 8 de noviembre, de prevención de riesgos laborales, en lo que atañe a las obligaciones del Tribunal Constitucional como empleador respecto de la protección de la salud del personal que presta servicios en el mismo. En suma, al amparo de la legislación de protección de la salud pública, el Tribunal Constitucional ha establecido unos criterios de acceso de visitantes a sus dependencias que responden a una finalidad perfectamente legítima y resultan proporcionados a esa finalidad, sin que en su ejecución se produzca un tratamiento de datos personales de acuerdo con lo dispuesto en el Reglamento UE y en la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de los derechos digitales. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/9 Es importante destacar, por último, que la eventual denegación de acceso a la sede del Tribunal Constitucional, por razones de protección de la salud de sus empleados y de terceros ante el riesgo de contagios a causa del COVID-19, en ningún caso depararía un perjuicio para quienes pretendan presentar escritos en su nombre o en el de sus representados en el registro de entrada del Tribunal y vean denegado su acceso por tal motivo. Debe advertirse que los interesados pueden presentar alternativamente sus escritos a través del registro electrónico del Tribunal […]” EN RELACIÓN AL FUNCIONAMIENTO DEL SISTEMA.
5. “Ese sistema consiste en una cámara termográfica que detecta si la persona que pretende acceder a la sede del Tribunal Constitucional lleva colocada la mascarilla y asimismo mide la temperatura corporal. Si el visitante porta la mascarilla correctamente colocada y no supera el límite de temperatura corporal (fijado en 37,5º C), la máquina desbloquea el torniquete del acceso de entrada a las dependencias del Tribunal y el visitante puede entrar; si no lleva mascarilla, o la medición de la temperatura arroja un resultado superior al límite, la maquina emite un aviso sonoro y bloquea el torniquete de entrada, de suerte que no se podrá acceder al Tribunal. En este caso, si el bloqueo de acceso se debiera a que el visitante supera el límite de temperatura corporal establecido, el funcionario de servicio le entregará por escrito un impreso en que se le indica que no tiene permitido el acceso por ese motivo, junto con una información complementaria.”
6. Que no se captura ni almacena imagen de la cara del visitante.
7. Que “No existe recogida de datos biométricos dirigidos a identificar a una persona física ni tampoco recogida de datos relativos a la salud asociados a una persona física identificada o identificable.”
8. Que “Se efectúa un mero visionado sin recogida ni almacenamiento de datos asociados a persona alguna, pues la medición de temperatura tiene lugar antes de la identificación por el control policial de la persona que pretende acceder al Tribunal.”
9. Que “[…] en ningún momento se asocia a la imagen de la cara ni la medición de temperatura corporal del visitante a ninguna base de datos personales.”
10. En cuanto al funcionamiento de los dispositivos manifiesta: a. Que funcionan en modo continuo de forma que cuando capturan la temperatura de una persona, muestran por pantalla dicha temperatura y la indicación de si se ha detectado el uso de mascarilla. b. Envían un mensaje por la red de datos al servidor con la información de la captura de temperatura realizada. c. Que el umbral de temperatura para generar la alerta es 37,5ºC. EN RELACIÓN A LA DESCRIPCIÓN DE LA BASE DE DATOS. (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/9 PARÁMETROS TÉCNICOS DEL SISTEMA.
11. Que el sistema de identificación facial con el propósito de controlar el uso de mascarilla y el nivel de temperatura corporal se añade a la infraestructura ya existente en el Tribunal incorporando ocho dispositivos ZKTeco Proface X[TD] para la captura de la temperatura y el control de uso de mascarilla de las personas que acceden a sus edificios.
12. Que el dispositivo que se utiliza para las visitas está ubicado en la puerta principal en la sede de Domenico Scarlatti nº6, consiste en un acceso exterior por el dispositivo mencionado de control de temperatura y mascarilla, con un torno que impide mecánicamente el acceso en caso de nivel alto de temperatura corporal o falta de mascarilla. Que, una vez salvado este control externo, existe el control de identidad operado por personal de la Policía Nacional encargado de la vigilancia.
13. En cuanto al funcionamiento de los dispositivos manifiesta: a. Que funcionan en modo continuo de forma que cuando capturan la temperatura de una persona, muestran por pantalla dicha temperatura y la indicación de si se ha detectado el uso de mascarilla. b. Envían un mensaje por la red de datos al servidor con la información de la captura de temperatura realizada. TERCERO: Con fecha 22 de octubre de 2021, de conformidad con el artículo 65 de la LOPDGDD, se comunicó la admisión a trámite de la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Como consecuencia del requerimiento de información efectuado por la Inspección, con fecha 3 de mayo de 2022, el TC remite a esta Agencia carta del Gerente del Tribunal Constitucional donde se certifica:
14. Que el sistema de control de temperatura corporal implantado en el Tribunal Constitucional con motivo de la crisis sanitaria provocada por el COVID-19 se puso en funcionamiento el 3 de septiembre de 2020 en los accesos peatonales desde el garaje subterráneo a la sede de C/ Domenico Scarlatti, ampliándose al acceso principal peatonal desde C/ Domenico Scarlatti con fecha 5 de noviembre de
16. Que el sistema fue totalmente desactivado con fecha 25 de octubre de
17. Aporta “Acuerdo del órgano de contratación del Tribunal Constitucional por la que se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/9 declara la emergencia para la contratación del suministro, instalación y mantenimiento de un sistema de control de temperatura corporal en los accesos del Tribunal” donde consta: “[…] Ante la necesidad inaplazable de garantizar la seguridad y salud de los trabajadores que actualmente prestan servicios mínimos presenciales en el Tribunal, así como de cara a la progresiva reincorporación al trabajo presencial del resto del personal, resulta imprescindible contar con un sistema de control de temperatura corporal en los accesos al Tribunal. De este modo, los trabajadores, visitantes y proveedores que presenten síntomas de fiebre no podrán acceder a la sede ni dependencias auxiliares. El sistema estará integrado con los distintos mecanismos de barrera de acceso (puertas de apertura automática, tornos, etc), así como con los sistemas informáticos de identificación y registro de accesos. Todo ello con pleno respeto a la normativa vigente en materia de protección de datos. […]” EN RELACIÓN AL FUNCIONAMIENTO DEL SISTEMA.
18. Para visitantes, en relación con la reclamación formulada, manifiesta: a. Acceden a pie por la puerta principal del edificio. b. Inmediatamente que traspasa la puerta de acceso al edificio y antes de acceder a su interior, el visitante, sin identificarse, se mostraba ante el dispositivo instalado temporalmente con cámara térmica y torniquete asociado. Este dispositivo verificaba la temperatura corporal y la colocación de la mascarilla. c. Si el visitante, no identificado, superaba la temperatura de 37,5ºC o si no llevaba puesta la mascarilla o la llevaba mal colocada se denegaba el acceso manteniendo el sistema bloqueado el torniquete. d. En caso de que superara la temperatura de 37,5ºC el agente de policía que se encontrara en la puerta entregaba al visitante en papel el impreso de “INFORMACIÓN PARA VISITANTES Y PERSONAL EXTERNO DEL TRIBUNAL CONSTITUCIONAL” en el que se recoge lo siguiente: “[…]En cumplimiento de la normativa de protección de datos, le informamos de que el Tribunal Constitucional no registrará, conservará, tratará ni comunicará a terceros ningún dato relacionado con su estado de salud, sin perjuicio de la propia obligación, en su caso, de comunicar Vd. mismo la situación a su empresa o centro de trabajo, según los protocolos sanitarios vigentes.” e. Si el torniquete permite la entrada, el visitante, sin identificar, pasa a continuación el control de seguridad de la Policía Nacional. f. Seguidamente, el visitante es atendido en una ventanilla por un agente de policía, que procede a su identificación (tratamiento de control de acceso). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/9 g. Al visitante identificado se le suministra una tarjeta RFID que le permie abrir el portillo motorizado de entrada al hall interior del Tribunal. EN RELACIÓN AL CONTROL DE ACCESO OPERADO POR LA POLICÍA NACIONAL:
19. (…)
20. Que este tratamiento de datos consta como “fichero de control de acceso” en el registro de actividades del tratamiento.
21. Que mientras el sistema de detección de mascarilla y control de temperatura estuvo en funcionamiento, este sistema no tuvo conexión con el sistema de control de acceso operado por la Policía Nacional.
22. “[…]La Policía Nacional, como encargada de la seguridad y vigilancia del Tribunal Constitucional, tiene encomendado el control de acceso a la sede del Tribunal, pero el sistema informático de control de acceso al edificio no está conectado a ningún sistema de control de seguridad propio y específico de la Policía Nacional […]” EN RELACIÓN A LA DESCRIPCIÓN DE LA BASE DE DATOS.
23. Que no se implantó un sistema de cámaras para control de temperatura independiente, sino que se llevó a cabo una integración sobre el sistema informático de control de acceso preexistente, para añadir los campos necesarios para los datos de temperatura y mascarilla y para la denegación de acceso.
24. Que en ningún caso se implantó un reconocimiento facial ni existió conexión alguna con las cámaras de videovigilancia. No consta singularizado, en ningún caso, el visitante. EN RELACIÓN A LA INFORMACIÓN SOBRE PROTECCIÓN DE DATOS PROPORCIONADA. Las manifestaciones presentadas se refieren al tratamiento de datos relacionados con los empleados del TC. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con las funciones que el artículo 57.1 a), f) y h) del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) confiere a cada autoridad de control y según lo dispuesto en los artículos 47 y 48.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/9 Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas En el presente caso, se valora la concreta reclamación presentada por la parte reclamante, y que expone lo indicado en el primer Hecho de esta resolución. En resumen, indica que, al acudir al TC a presentar un recurso de amparo como abogado, ve que le ponen frente a una cámara diciendo que era para tomar la temperatura, pero ve que la cosa va más allá y es una pantalla de reconocimiento biométrico sin que se ofrezca ninguna advertencia ni explicación ni información en panel alguno, sin decir la base legal de tan extremada injerencia en mi intimidad, sin base legal para hacer una cosa así. Denuncia al TC por este motivo, uso desproporcionado y sin base legal de cámara que obtiene una biometría de la cara. El artículo 2, apartado1 del RGPD, denominado ámbito de aplicación material, señala: “
25. El presente Reglamento se aplica al tratamiento total o parcialmente automatizado de datos personales, así como al tratamiento no automatizado de datos personales contenidos o destinados a ser incluidos en un fichero.” De acuerdo con lo establecido en el artículo 4.1 del RGPD, define como «datos personales»: “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;” El apartado 4.2 del RGPD define «tratamiento» como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” Por último, en el artículo 4.14 del RGPD se identifican como «datos biométricos»: “datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos;” La reclamación se concreta en el control de temperatura y correcto uso de mascarilla, realizado a los visitantes del TC, ubicado en la calle Domenico Scarlatti nº6, de Madrid, previamente a la entrada en las instalaciones. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/9 Tras las actuaciones de investigación efectuadas, se ha comprobado que el sistema instalado para control que se efectuaba inmediatamente que el visitante traspasase la puerta de acceso al edificio y antes de acceder a su interior, sin identificarse, no suponía un tratamiento de datos personales ya que no se identificaba a dicho visitante ni se recogían datos que hiciesen identificable al que no pasase el control. La instalación del control lo constituía un dispositivo instalado temporalmente con cámara térmica y torniquete asociado. Este dispositivo verificaba la temperatura corporal y la colocación de la mascarilla. Si el visitante, no identificado, superaba la temperatura de 37,5ºC o si no llevaba puesta la mascarilla o la llevaba mal colocada se denegaba el acceso manteniendo el sistema bloqueado el torniquete. En el caso de que superara la temperatura de 37,5ºC, el agente de policía que se encontrara en la puerta entregaba al visitante en papel el impreso de “INFORMACIÓN PARA VISITANTES Y PERSONAL EXTERNO DEL TRIBUNAL CONSTITUCIONAL”, en el que se informa de que el Tribunal Constitucional no registrará, conservará, tratará ni comunicará a terceros ningún dato relacionado con su estado de salud, sin perjuicio de la propia obligación, en su caso, de comunicar Vd. mismo la situación a su empresa o centro de trabajo, según los protocolos sanitarios vigentes. Si el torniquete permitía la entrada, el visitante, todavía sin identificar, debía pasar el control de seguridad de la Policía Nacional, donde si se le identificaba. En síntesis: no se capturaba ni almacenaba la imagen de la cara del visitante; no existía recogida de datos biométricos dirigidos a identificar a una persona física ni tampoco recogida de datos relativos a la salud asociados a una persona física identificada o identificable; se efectúa un mero visionado, sin recogida ni almacenamiento de datos asociados a persona alguna, pues la medición de temperatura tiene lugar antes de la identificación por el control policial de la persona que pretende acceder al Tribunal; y en ningún momento se asocia a la imagen de la cara ni la medición de temperatura corporal del visitante a ninguna base de datos personales. III Conclusión Por lo tanto, los hechos objeto de reclamación se concretan en el tratamiento de datos biométricos de forma previa al acceso al TC, lo que la parte reclamante considera un tratamiento de datos excesivos. En base a lo indicado en los párrafos anteriores (no se trata ningún dato personal de los visitantes previo a comprobar que no superan los 37,5ºC, ni biométrico ni ordinario), no se han encontrado evidencias que acrediten la existencia de infracción en el ámbito competencial de la Agencia Española de Protección de Datos. Así pues, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/9 PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a Don A.A.A. y al TRIBUNAL CONSTITUCIONAL. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-110422 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es