PS-00050-2021

1/25  Expediente Nº: PS/00050/2021 RESOLUCIÓN DE TERMINACIÓN DEL PROCEDIMIENTO POR PAGO VOLUNTARIO Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Con fecha 19 de febrero de 2021, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a SERVICIOS LOGÍSTICOS MARTORELL SIGLO XXI, S.L. (en adelante la parte reclamada). Notificado el acuerdo de inicio y tras analizar las alegaciones presentadas, con fecha 6 de octubre de 2021 se emitió la propuesta de resolución que a continuación se transcribe: << Expediente nº: PS/00050/2021 Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes: ANTECEDENTES PRIMERO: La reclamación interpuesta por SECCIÓN SINDICAL ***SECCIÓN.1 (en adelante, el reclamante) tiene entrada con fecha 6/02/2020 en la Agencia Española de Protección de Datos procedente de la Autoridad Catalana de Protección de Datos. La reclamación se dirige contra la empresa, en la que, manifiestan ostentan representación sindical: SERVICIOS LOGÍSTICOS MARTORELL SIGLO XXI, S.L., con CIF B65050247 (en adelante, la reclamada), “por su oposición a la implementación de un sistema de control presencial de los trabajadores a través de un sistema biométrico de huella digital en las dependencias de la empresa, mediante terminales que incorporan lectores para la captura de la huella dactilar de cada empleado“, y “en la actualidad el sistema se conjuga con el lector de tarjeta”. La reclamada dedica su actividad al “transporte de ensamblado y montaje de piezas de vehículos automóviles, siendo la empresa SEAT para la que prestan servicios como único cliente” con unos 520 trabajadores. Manifiesta el reclamante que, a su juicio, el sistema que se halla en fase de “pruebas”, no es conforme a la normativa, por:

1. a)Desproporcionado: “Las dependencias de la empresa se encuentran ubicadas dentro del recinto de SEAT MARTORELL, que posee su propio sistema de control de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/25 acceso, visitas y presencia laboral, a los que se deben someter los trabajadores” de la reclamada “a lo que hay que adicionar el propio sistema de fichaje con tarjeta instaurado en la empresa, por lo que un tercer sistema de control es desproporcionado.”
2. a)Innecesaria, por la existencia de otros medios menos invasivos para alcanzar el control de presencia.
3. b)Se pretende igualmente con la implementación del sistema, el control de la producción al haber instalado los lectores en las áreas de trabajo.
4. c)Ausencia del consentimiento: la empresa obliga a los trabajadores a firmar un documento de consentimiento para el tratamiento de sus datos por lo que no es una manifestación de voluntad libre. SEGUNDO: Con fecha 26/03/2020, se traslada la reclamación a la reclamada, que el 9/07/2020, manifiesta: 1) Al estar ubicada la empresa dentro de las instalaciones del cliente, SEAT, los trabajadores, para acceder, tienen que pasar por el control de acceso a fabrica que su titular tiene implantado. Desde este punto, hasta la ubicación de la empresa reclamada, hay un trayecto andando de unos veinte minutos. Indica que el centro de trabajo tiene una superficie total superior a sesenta mil metros cuadrados, aportando un gráfico con la situación de los puntos de registro horario. En los espacios donde se implantan los registros de la huella existían históricamente dos terminales de control de presencia mediante tarjeta, que permitían el control de presencia, y el control de la jornada laboral-entradas, salidas y ausencias- y, por otro, la generación de reporte de variables para la elaboración de las nóminas -horas extras, nocturnidades. Manifiesta que “durante 2017 con la idea de sustituir estos terminales de tarjeta se instalan cinco terminales de huella en cada una de las áreas de trabajo del centro. Estos nuevos terminales venían a sustituir a los dos de tarjeta con las mismas finalidades y la misma información”. Esta medida se ejecuta con varias premisas: -para evitar la problemática de que el personal abandone su puesto de trabajo antes de la hora y fiche en la entrada del taller la salida de su turno, y, - facilitar el proceso de fichaje evitando aglomeraciones en puntos de fichado, pasando de dos a cinco. Añade que la huella supera a la tarjeta pues evita casos que se han dado de dar la tarjeta entre empleados para fichar por el titular. Se implantará un solo tipo de registro de presencia de jornada laboral, si bien actualmente coexisten el de tarjeta y el nuevo de huella, están utilizando ambos para comprobar que funciona con corrección antes de implantarlo definitivamente. Indica que van a instaurar un programa para reducir el lapso en que ambos sistemas, tarjeta-huella van a convivir, y van a realizar las nuevas explicaciones del sistema a los trabajadores y a sus representantes. 2) El 13/11/2017, se convocó al Comité de Empresa y se le presentó el proyecto y objetivos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/25 de control de presencia mediante huella, entregándose copia del informe del proveedor de la tecnología, otorgando un plazo para que emitiera su informe. Aporta documentación del acta de la reunión. Indica que el 20/11/2017, efectuaron una segunda reunión en la cual la Sección Sindical de ***SECCIÓN.1, no así la de ***SECCIÓN.2, se opuso por considerarla desproporcionada y manifestó que el sistema de tarjeta actual era suficiente y solicitaron un procedimiento de mediación, que no llegó a buen término, y posteriormente, el 15/10/2018, se trasladó por el reclamante la queja a la Inspección de Trabajo. El 14/01/2019, se archivó la queja por no acreditarse infracción. Aporta copia de estos documentos. 3) Manifiesta que de la recogida de las huellas e implantación del sistema se informó a cada trabajador, documentando su entrega con recibí. Aportan copia del del de una empleada, que lleva fecha de 22/01/2018, con el literal “información por parte de la dirección de la empresa y aceptación por los usuarios del registro de la huella digital”, “desde la dirección del departamento de recursos humanos se informa a los trabajadores que se ha procedido a la implantación de un sistema de control de accesos visitas y presencia laboral mediante huella dactilar para lo cual se solicitará a los usuarios el registro de la misma y todo ello de conformidad con lo establecido en la ley de Protección de Datos de carácter personal 15/99 de 13/12”. 4) Manifiesta que la publicación del Real Decreto ley 8/2019 de 8/03, de medidas urgentes de protección social y de lucha contra la precariedad laboral en la jornada de trabajo, intensificó las tareas de puesta en marcha del sistema de fichaje, estableciendo un plazo de guardado de datos registrados de cuatro años. 5) Aporta un esquema gráfico del funcionamiento del proceso del tratamiento de la huella dactilar en el que se indica: a. “Tras el alta del trabajador y al tiempo que se le informa de la recogida de la huella para control de jornada, un técnico de RRHH toma la huella con el lector denominado ***LECTOR.1 (“Sistema basado en minucias: identifica un número limitado de formas de la huella y su posición dentro de la misma. El lector capta la huella y digitaliza unos puntos de referencia y convierte las minucias en una plantilla de huella cifrada (algoritmo)”. “Nunca se almacenan imágenes de huella. Esta plantilla de huella no permite la identificación biométrica, solo la verificación biométrica” b. Tras la toma de la huella, figura que el “técnico de recursos humanos asocia en programa ***PROGRAMA.1 la plantilla de huella con ID del empleado”. En el dibujo de ***PROGRAMA.1 figura que “almacena datos en el servidor; ID empleado, nombre y apellidos, NIF, plantilla huella cifrada, fecha, hora entrada, hora salida, ausencias “. c. Desde ***PROGRAMA.1 hay una doble fecha hacia FICHADORA, y de esta a ***PROGRAMA.1. Sobre la FICHADORA, figura: “el trabajador ficha”. Desde ***PROGRAMA.1 a FICHADORA consta: “Transferencia automática TCP de trama extra decimal: ID empleado, nombre y apellidos, plantilla huella cifrada”. Desde FICHADORA, en la que figura: “Almacena datos en el dispositivo: ID empleado, plantilla huella cifrada”, sale la flecha a ***PROGRAMA.1, figurando: “Transferencia automática TCP trama extradecimal: ID empleado, fecha, hora entrada, hora salida, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/25 ausencias”. Figura un paréntesis explicativo debajo de FICHADORA, que indica: “La verificación del usuario se realiza en local contra la plantilla cifrada almacenada en la fichadora. Nunca se verifica contra la base de datos central de ***PROGRAMA.1. Se recogen en automático los datos de fecha y horas. El trabajador registra manualmente con un código las ausencias”. En el gráfico explicativo, en otra pantalla también figura el flujo cuando se produce la baja del empleado. 6) Manifiesta que analizando los informes del Gabinete Jurídico de la AEPD número 65/2015, 36/2020, de 8/05, y el dictamen 3/2012, del Grupo del artículo 29, sobre “evolución de las tecnologías biométricas” se concluye la diferencia de los datos biométricos: -“Los de identificación biométrica: La identificación de un individuo por un sistema biométrico es normalmente el proceso de comparar sus datos biométricos ( adquiridos en el momento de la identificación) con una serie de plantillas biométricas almacenadas en una base de datos (es decir un proceso de búsqueda de correspondencia uno- a- varios.” -“Verificación/ autenticación biométrica: la verificación de individuo por un sistema biométrico es normalmente el proceso de comparación entre sus datos biométricos (adquiridos en el momento de la verificación) con una única plantilla biométrica almacenada en un dispositivo (es decir un proceso de búsqueda de correspondencias uno-a-uno).” “Solamente se tratarían como dato de categoría especial, aquellos en los que se sometan a tratamiento técnico dirigido a la identificación biométrica “uno a varios”, y no en el caso de verificación/autentificación biométrica “uno a uno”. Manifiestan que su sistema es de verificación/autenticación, explicando que sólo se busca la correspondencia de los datos biométricos aportados en el momento del registro por el interesado para acreditar que es él. “Este dato está almacenado en el dispositivo de forma cifrada y es consultado por el sistema de autenticación para verificar que hay una coincidencia”. “cuando un empleado pone su dedo en el lector de la fichadora, este dispositivo verifica en local, nunca contra la base de datos central, que se corresponde la plantilla de la huella cifrada que se encuentra almacenada en el dispositivo. En caso de que exista coincidencia, recoge los datos del fichaje- fecha, hora, ID empleado, ausencia, etc.- y los envía al programa de gestión de fichajes ***PROGRAMA.1. Se trata de una autenticación, similar a la realizada con una contraseña”. 7) Manifiesta que a la fecha ningún empleado ha ejercido algún tipo de derecho respecto de sus datos. 8) Aporta copia de análisis de riesgos de actividades de tratamiento, (modelo cuestionario y notas al mismo). “Aplicando como primer paso la adaptación de la herramienta FACILITA RGPD el 8/04/2019 se obtiene el resultado de la actividad de “escaso riesgo”. Indica que evaluaron la necesidad de realizar o no una EIPD. “El resultado determinó que no se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/25 precisaba realizar una evaluación de impacto en protección de datos (EIPD) precisamente por la interpretación de que la plantilla de la huella cifrada mediante el algoritmo no debía enmarcarse en los datos especialmente protegidos”. Pero si se realizó un “análisis de riesgos básicos” “para determinar si era preciso implantar procesos y protocolos adicionales a los diseñados”: -“16/09/2019, revisión de la probabilidad del riesgo núm5 por oportunidad de mejora en el proceso de borrado detectada a raíz del plan implantación de ISO 27001 pasa valoración”. -En el apartado de especificar las categorías de datos tratados: “Se tratan datos de carácter personal de carácter identificativo, plantilla de huella, y de empleado: nombre y apellidos y NIF. Además, se tratan fecha de entrada y salida, y ausencias”. La conclusión del análisis indica: “es de riesgo escaso”, “cuando un empleado pone su dedo en el lector de la fichadora, el propio dispositivo verifica que se corresponde a la plantilla de la huella que se encuentra almacenada en el dispositivo. En el caso de que exista coincidencia, recoge los datos del fichaje: fecha, hora ID del empleado, ausencia, etcétera, y los envía al programa de gestión de fichajes ***PROGRAMA.1”. ”Se considera que se trata de una autenticación similar a la realizada con una contraseña y no de una identificación biométrica por lo que no se considera un dato especialmente protegido cómo será la imagen completa de una huella que permitirá identificar a un trabajador dentro de una bolsa completa de personas”. TERCERO: La Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante el 7/09/2020. CUARTO: En el marco de las actuaciones practicadas por la Subdirección General de Inspección de Datos, con objeto de aclarar la respuesta de la reclamada, con fecha 23/11/2020, se le solicitó su colaboración, para que informara sobre el sistema de registro de huella que utilizan. 1) Se les solicita que expliquen brevemente cómo se produce el sistema de registro y guarda-almacenamiento de la plantilla ¿Qué es ***PROGRAMA.1?, ¿qué es la base central de ***PROGRAMA.1?, y si ahí se guarda la plantilla convertida en algoritmo de cada empleado, y qué relación tiene con el dispositivo llamado “fichadora” Con fecha 15/12/2020, se recibe su respuesta en la que manifiesta: ***PROGRAMA.1, “servidor principal para la gestión del sistema de presencia, pertenece al “Grupo Sesé” , mismo grupo al que pertenece la reclamada y se implementa a través de una aplicación comercial llamada ***PROGRAMA.1, de la empresa TECISA”.”La información para la gestión se almacena en una base de datos incluida con la aplicación, y es en esta base de datos qué tiene la aplicación, dónde se guarda codificada la plantilla recogida de la huella”. La fichadora, o terminal remoto “hace de interfaz entre el empleado y el sistema de ***PROGRAMA.1 para la validación y recogida de información”. Mediante este dispositivo, “nos validamos en el sistema y recoge información como la hora en la que hemos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/25 interactuado, por ejemplo”. 2) En el dibujo del gráfico del proceso “El trabajador ficha”, y “fichadora”, figura el literal “almacena datos en el dispositivo: ID empleado-plantilla huella cifrada”, en tal sentido, aclaren ¿a qué dispositivo se refiere? ¿a la fichadora?, describiendo si así fuera como se almacena la plantilla de todos los empleados en toda y cada una de las cinco que disponen. Distingue dos fases del proceso, la fase de registro de los datos y la fase de operación de registro de la presencia. Fase 1, Registro de datos: -Recursos Humanos registra los datos del empleado y recoge su huella con un lector (denominado en este caso ***LECTOR.1). “En el momento de la captura, se genera una plantilla con los puntos característicos de esa huella, que se guarda codificada en la base de datos ***PROGRAMA.1. No se almacena la imagen de la huella. Cuando se graban los datos, el proceso de sincronización envía los datos necesarios desde la aplicación ***PROGRAMA.1 a las fichadoras asociadas -cinco- donde quedan almacenados dichos valores. Los datos que se envían son ID del empleado, nombre y apellidos y la plantilla cifrada.” Fase 2, Operación: -“Cuando un empleado quiere registrar su presencia, coloca el dedo en la fichadora que mediante el lector ***LECTOR.1 incorporado, realiza el mismo proceso comentado en la fase 1 cuando se dio de alta al empleado en el sistema. De forma que realiza una captura de los puntos característicos de la huella del empleado, esta captura se codifica y se compara con la plantilla codificada qué está almacenada en la memoria de la fichadora y asociada al ID del empleado. Si es correcta- ambas plantillas coinciden- la fichadora enviara los datos pertinentes del empleado. Nunca se manda la huella codificada ni el nombre, sólo se envía información relevante para el fichaje: fecha, hora, ID del empleado y cualquier código definido de ausencia. Estos datos son los que se transmiten a la aplicación del ***PROGRAMA.1 para su posterior procesamiento.” 3) Sobre su manifestación de: “La verificación de usuario se realiza en local contra la plantilla cifrada almacenada en la fichadora. Nunca se verifica contra la base de datos central de ***PROGRAMA.1” Se solicita que amplíen información sobre:
5. a)Si su sistema utiliza la misma plantilla para cada empleado, registrando distintos algoritmos, o plantillas distintas para cada empleado. Manifiesta que al mencionar plantilla “se trata en realidad de la información codificada que se ha guardado tras leer la huella, esta no se almacena como imagen, sino que se detectan y guardan entre 25 a 80 minucias -son los puntos de la huella donde termina una línea o se bifurca- estos puntos son los que se codifican y se almacenan como plantilla. Cada uno de nosotros tenemos unos puntos diferenciados unos de otros, lo que es suficiente para poder identificarnos y lo que se guarda son estos puntos, por lo que no puede haber dos códigos idénticos.”
6. a)Explique cómo es posible correlacionar a través del sistema uno a uno (autenticación) la introducción de la huella en la fichadora, con la/s plantilla/s, explique si C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/25 todas las plantilla/s se hallan en la fichadora. (aparentemente se producirá una validación de huella introducida versus todas las plantillas.) Reitera que “Cada fichadora almacena las plantillas y el ID de cada empleado, por lo que cuando un empleado pone la huella ésta se codifica en una plantilla y el sistema realiza la búsqueda para ver cuál es igual a la generada. El proceso se realiza de forma local, no se consulta a la aplicación ***PROGRAMA.1”
7. b)Qué diferencia habría entre que el trabajador fiche en la fichadora y la verificación se hace en local contra la plantilla cifrada almacenada en la fichadora, con que lo haga contra la base de datos central de ***PROGRAMA.1? “No habría diferencia técnica o sí de practicidad. El proceso sería el mismo, solo que en ese caso se debería comparar con todas las plantillas almacenadas y se incrementaría notablemente el tiempo que tomaría en la transmisión de la información de ida y vuelta”.
8. c)La fichadora, ¿tiene en cada momento un solo paquete de datos identificador de la persona que está fichando o todos los paquetes de todos los trabajadores? Respondió que “La fichadora guarda la información de todos los trabajadores del centro, ya que se han configurado para facilitar el fichaje en cualquiera de ellas por parte del trabajador”. 4) En el gráfico, desde “fichadora” a “***PROGRAMA.1”, existe una doble flecha en la que se contienen literales: “transferencia automática, TCP de trama extradecimal etc.”, se solicita que expliquen el significado de dichos extremos en ambos sentidos, y que implican las dobles flechas, si se pudiera entender como que hay una transferencia de datos desde el sistema central hasta la fichadora. (id empleado-nombre/apellidos-huella). Reitera que: “Cuando se realiza el alta o modificación de un empleado, se hace desde la aplicación ***PROGRAMA.1. Una vez se guardan los datos, el sistema lanza una actualización hacia las fichadoras mediante una trama TCP donde se transmite la información (nombre del empleado, ID del empleado, plantilla de la huella) quedándose registrado en las fichadoras”. Sólo cuando un empleado realiza un fichaje en la fichadora y tras el proceso de validación, la fichadora, envía la información (ID, fecha y hora, ausencias) a la aplicación de ***PROGRAMA.1”. Indican que su sistema funciona como el de una contraseña. A tal efecto, deben detallar los elementos de dicha idea, usuario, como se verifica y cuál sería el elemento contraseña, como, y donde se almacenan y como y contra que elemento se produce el emparejamiento. Responde que comparando la forma tradicional de identificarse a través de usuario/ contraseña, indica que el símil con la huella biométrica es que esta permite una autenticación más fuerte que el simple par usuario/contraseña, ya que los datos biométricos son más complejos de reproducir y romper que una contraseña. Por esa razón, indicaban que se trata como si fuera una contraseña, ya que con la huella “ningún otro empleado puede suplantar la identidad de otros de forma sencilla. En este caso, el usuario es el ID del empleado y la contraseña es la plantilla de su huella”. 5) Otras cuestiones que consideren aclaratorias o convenientes del sistema que según indican busca la correspondencia de los datos biométricos aportados por el empleado cuando procede a la acción de fichar, con el modo en que se produce el registro de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/25 datos, previa confrontación y coincidencia que manifiesta es de tipo “autenticación”. Manifiesta que el sistema de validación biométrico tiene como único objetivo y finalidad la identificación inequívoca de un empleado dentro del sistema aportándole garantías al mismo ante cualquier intento de suplantación de su identidad, dificultando la reproducción de la huella por parte de un tercero. QUINTO: Con fecha 19/02/2021 la Directora de la AEPD acordó: “INICIAR PROCEDIMIENTO SANCIONADOR a SERVICIOS LOGÍSTICOS MARTORELL SIGLO XXI, S.L., con CIF B65050247, por la presunta infracción del artículo 35 del RGPD de conformidad con el artículo 83.4
9. a)del RGPD.” “a los efectos previstos en el art. 64.2
10. b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de multa administrativa de 20.000 euros, sin perjuicio de lo que resulte de la instrucción.” SEXTO: La reclamada efectúa las siguientes alegaciones: 1) Utiliza un patrón de la huella dactilar-basado en minucias, se identifica un número limitado de formas de huella y su posición dentro de la misma, asociándose un algoritmo. El patrón se almacena encriptado, conteniendo la posición y tipo de minucias, no siendo posible “aplicar ingeniería inversa a las plantillas para recuperar imágenes de las huellas”. 2) “Se emplea un lector de huella que lee la huella del empleado por primera vez y crea el patrón de puntos, pero no guarda la imagen de la huella como tal, sino un algoritmo derivado de los puntos obtenidos en el patrón. Cuando un trabajador pone su dedo para fichar en la fichadora, el lector lee los puntos y los compara con la base de datos en la que se encuentra el algoritmo, que ha sido almacenado, además, de forma cifrada; lo que lo convierte en un código alfanumérico único asociado al patrón de la huella leída por primera vez. Que el dispositivo lea la huella y la compare contra un patrón cifrado es exactamente el mismo proceso de identificación en una contraseña o tarjeta inteligente, por lo que, al no almacenar la imagen de la huella y hacer la identificación mediante un código, entendemos que no estaríamos hablando de un dato biométrico conforme a la definición del artículo 4.14 RGPD.” 3) “El sistema utilizado no siempre puede identificar a la persona sin ambigüedad, a diferencia de lo que sucedería si se emplease, por ejemplo, un dato genético que es único. Y ello, puesto que la identificación en el grupo de trabajadores se hace con unas coordenadas que no son únicas en el mundo, por tanto, la identificación del empleado se hace sin utilizar el dato biométrico, es decir, la huella. En conclusión, el patrón de la huella no cumple el requisito de unicidad.” “Por consiguiente, el patrón de huella del empleado no es un dato biométrico conforme al artículo 4.14 del RGPD, por tanto, no corresponde aplicar el artículo 9 del RGPD como categoría especial de datos en cuanto a la finalidad del tratamiento del dato biométrico” 4) El sistema de control de presencia y jornada laboral, para implementar el sistema mediante su software de gestión de presencia llamado ***PROGRAMA.1 se contrató con la empresa TECISA 74, S.L. y la instalación de las fichadoras (***FICHADORAS.1) que contienen los lectores de huella (***LECTOR.1) en los accesos a las áreas de trabajo. TECISA utiliza la tecnología de ***LECTOR.1/(…) en relación con el sistema de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/25 identificación mediante huella dactilar. 5) Contrató los servicios de TECISA 74, S.L. por ser un proveedor referente para la Administración Pública, tal y como se pone de manifiesto en la propia página web del proveedor ***URL.1, de la que se desprende que “el Ministerio de Justicia de España (Audiencia Nacional), la Secretaría General de Instituciones Penitenciarias del Ministerio del Interior de España, el Ministerio de Empleo y Seguridad Social en el Control de acceso de internos en los Centros de Estancia Temporal de Inmigrantes de Ceuta y Melilla, el Ayuntamiento de Getafe y la Comunidad de Madrid en su Campus para la Justicia han confiado en TECISA 74, S.L. como proveedor de servicios de control de accesos y de presencia.” Además, en la misma web, en concreto en el apartado https://www.tecisa.com/quienes-somos, se informa que “TECISA 74, S.L. es considerada por la Administración Pública Española como la empresa fabricante del mejor software y terminales de control de accesos y presencia laboral, según lo indica en la reciente resolución del concurso de Catálogo de Patrimonio del Estado una vez evaluadas, durante meses, todas las propuestas presentadas por más de 100 empresas. De entre los 195 productos presentados por compañías nacionales e internacionales, los terminales de control de accesos y presencia laboral fabricados por Tecisa han sido, de forma contundente, los mejor valorados por un grupo de expertos del Ministerio de Hacienda y Administraciones Públicas en representación del Estado Español.” La reclamada actuó en la creencia de que la información que se le ha ofrecido por TECISA respecto al tratamiento de huellas era valida y conforme al RGPD. Además, está dispone de una certificación ISO 9001/2015 de sistemas de gestión de calidad, norma internacional que acredita la capacidad para proporcionar regularmente productos y servicios que satisfagan los requisitos del cliente y los legales y reglamentarios aplicables. Por otro lado, la reclamada cuenta con el certificado ISO IEC 27001/2013, documento dos, “conforme ha implementado y aplica un sistema de gestión de seguridad de la información que permite el aseguramiento, la confidencialidad e integridad de datos y de sus sistemas que los procesan, además de la evaluación de riesgos y aplicación de controles necesarios para mitigarlos o eliminarlos.” 6) Manifiesta que pese a que la base legal del tratamiento podría ser el artículo 6.1
11. b)o el 6.1 c), ha optado por solicitar el consentimiento de sus empleados conforme señala el artículo 6.1
12. a)y 9.2
13. a)del RGPD. Consideran que no existe presión a la hora de la prestación del consentimiento si no se presta por los empleados, dado que la reclamada informó primeramente a la representación de los trabajadores del nuevo sistema, quienes a su vez informaron a los empleados de la empresa y que la inmensa mayoría de los empleados no se negó a otorgar su consentimiento ni tan siquiera algunos miembros de ***SECCIÓN.1 que conforman el comité de empresa que han presentado la presente reclamación, ni tampoco ninguno ha revocado el consentimiento ni se ha opuesto al tratamiento en ningún momento ni tan siquiera la sección sindical ***SECCIÓN.1 informó a los trabajadores de su desacuerdo en la implantación del sistema. 7) Manifiesta que el control de presencia y el registro de jornada laboral con patrón de huella como indicaron antes, coexistieron con el anterior sistema basado en la utilización del lector de tarjetas, hasta el momento en que se suspendió con motivo del COVID-19, el 14/03/2020 La propia reclamante sección sindical de ***SECCIÓN.1, reconoce la existencia de los dos sistemas figurando así en el acuerdo de inicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/25 Durante la fase de pruebas del nuevo sistema de control de presencia y jornada laboral que se ha visto interrumpida, se pone de relevancia que hay empleados que han hecho uso única y exclusivamente de su tarjeta conforme al control presencial anterior, no utilizando los lectores de huella conforme al nuevo sistema debido a que estaban en funcionamiento los dos sistemas. Por el total de fichajes de cada mes y los días de referencia, el nuevo sistema de fichaje fue utilizado por el 40 o el 50% de la plantilla y no la totalidad. Ya se aportó en actuaciones previas la actuación de la Inspección de Trabajo y Seguridad Social que analizando el sistema de control presencial dactilar no encontró ninguna irregularidad, lo contrario de lo que manifiesta la AEPD. Añade que no existe una instrucción o circular específica sobre el tratamiento de datos a través de dispositivos biométricos para el control de presencia, que han actuado de buena fe en la creencia de que el sistema de control y jornada era conforme al RGPD. Llevaron a cabo una auditoría para la certificación 27001/2013 de 2019, en la que se hizo una evaluación y correspondiente análisis de la aplicación ***PROGRAMA.1. 8) No obstante, y lo que ha motivado el acuerdo de inicio, han llevado a cabo una evaluación de impacto aplicando el criterio de la Agencia de que se está llevando a cabo un tratamiento de un dato biométrico con finalidad de identificación, modificando también el registro de actividad del tratamiento, y aportan documento 3 con la evaluación del impacto y documento 4 con el registro de la actividad de tratamiento modificado. Indican que la evaluación de impacto se ha efectuado, pese a que el sistema de control de presencia y jornada laboral mediante patrón de huella solo estuvo vigente desde el 16/01/2020 hasta el 14/03/2020, es decir está inoperativo desde antes del traslado del inicio del traslado. Considera que ha venido cumpliendo y observando obligaciones exigibles y pide que se aperciba o en su caso se reduzca a una sanción mínima, considerando también que analizaron previamente en el análisis de riesgos la valoración de si procedía o no a realización de la Evaluación de impacto. 9) Alude a otros expedientes de la AEPD sobre registro con datos biométricos en los que no se ha impuesto la obligación de efectuar evaluación de impacto conforme señala el artículo 35 del RGPD como por ejemplo el PS 7044/2019 contra una Comunidad de propietarios ( en realidad se trataría del E77044/2019, no se alcanzan o asignan más de siete mil expedientes sancionadores en un año) en el que se archivaron las actuaciones sin que conste que dispusiera de evaluación de impacto, según acta de la junta de propietarios que aprobó el 26/09/2017 la instalación de “tornos con reconocimiento de huella para acceso a instalaciones” de un Club social con piscina, anejo a la vivienda. En la resolución se indica que existía otra alternativa de acceso a través de un carné con fotografía y no se detalla el sistema técnico de recogida, almacenamiento y almacenamiento y si el sistema de emparejamiento de datos al poner el dedo para entrar era identificación uno-uno, o uno varios, y se expresa que “la legitimación para el tratamiento de la huella dactilar para el acceso a las instalaciones por parte de la reclamada debemos buscarlo en el artículo 9 y 6 del RGPD.” Añadiendo que no se aplicará la prohibición en virtud del consentimiento, articulo 9.2.a), siendo además de lo detallado, un supuesto distinto al que aquí se valora. Y señala otro caso similar como el PS 145 /2019 a la Consejería de Educación y Deporte de la Junta de Andalucía, en un caso similar se le impuso un apercibimiento por infracción del artículo 13 sin que hubiera sanción alguna por incumplimiento del art 35 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/25 SEXTO: De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS 1) La reclamada dedica su actividad al transporte de ensamblado y montaje de piezas de automóviles, siendo la empresa SEAT para la que prestan servicios como único cliente con unos 520 trabajadores. Las dependencias de la empresa se encuentran ubicadas dentro del recinto de su cliente, SEAT. El centro de trabajo tiene una superficie total superior a sesenta mil metros cuadrados, aportando un gráfico con la situación de los puntos de registro horario. 1) Históricamente existían dos terminales de control de presencia mediante tarjeta. Durante 2017, para sustituir estos terminales de tarjeta se instalan cinco terminales de huella en cada área de trabajo del centro, con las mismas finalidades. Cuando la reclamada responde al traslado, 9/07/2020, informó que coexistieron los métodos de fichaje de tarjeta y el nuevo de huella, utilizando ambos para comprobar que funciona con corrección antes de implantar definitivamente la huella. 2) La reclamada acredita haber consultado a la representación sindical el 13/11/2017, antes del uso del sistema de huella dactilar e individualmente a los empleados, desde 22/01/2018, de conformidad con lo establecido en la ley de Protección de Datos de carácter personal 15/99 de 13/12. En alegaciones indicó la reclamada que el uso de la huella se suspendió con motivo del COVID 19, el 14/03/2020, y que solo estuvo vigente desde el 16/01/2020 hasta el 14/03/2020. 3) Los motivos por los que la reclamada prefiere el uso de la huella sobre la tarjeta, son que evita casos que se han dado de dar la tarjeta entre empleados para fichar por el titular, y que se produce una identificación inequívoca del empleado, evitando la suplantación al dificultar la reproducción de la huella por un tercero. 4) La finalidad del registro de huella dactilar es el control horario o de jornada, de conformidad con el artículo 34.9 del Estatuto de los Trabajadores. 5) El sistema de recogida y registro de la huella de los empleados y su uso se divide en dos fases: 1 Registro de datos, 2 Operación de registro de presencia. Fase 1: se realiza por un técnico de RRHH que con el programa de gestión de fichajes de la aplicación ***PROGRAMA.1 de la empresa TECISA, y a través de un lector denominado ***LECTOR.1, recoge la huella, la captura de modo que identifica un número limitado de formas de la huella y su posición dentro de la misma (minucias) convirtiéndolas en una plantilla de huella cifrada (información codificada, se guardan entre 25 a 80 minucias-puntos de bifurcación o donde termina una línea). No se almacena la imagen completa de la huella. En la base de datos incluida en la aplicación se asocia y almacena la plantilla de huella con el ID del empleado, nombre y apellidos, NIF. Al grabar los datos, las fichadoras o terminales remotos, cinco en este caso, en un proceso de sincronización asociado a la aplicación, almacenen dichos valores: plantilla cifrada, ID del empleado, nombre y apellidos. Fase 2: Cuando un empleado quiere registrar su presencia, que puede hacerlo en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/25 cualquiera de los cinco terminales o fichadoras-lectores de huella ***LECTOR.1-, coloca el dedo en la fichadora que mediante el lector ***LECTOR.1 incorporado, realiza el mismo proceso comentado en la fase 1 cuando se dio de alta al empleado en el sistema. De forma que realiza una captura de los puntos característicos de la huella del empleado, esta captura se codifica y se compara con la plantilla codificada que de cada empleado está almacenada en la memoria de cada fichadora y asociada al ID del empleado. Si es correcta- ambas plantillas coinciden- la fichadora enviara los datos pertinentes del empleado. Nunca se manda la huella codificada ni el nombre, sólo se envía información relevante para el fichaje: fecha, hora, ID del empleado y cualquier código definido de ausencia. Estos datos son los que se transmiten a la aplicación de ***PROGRAMA.1 para su posterior procesamiento. 6) La reclamada disponía del documento de análisis de riesgos de actividades de tratamiento, realizado el 8/04/2019, figurando el resultado de la actividad de “escaso riesgo”, con resultado de que no era preciso realizar una evaluación de impacto en protección de datos (EIPD). La reclamada indica que estando en funcionamiento los dos sistemas de fichaje, hubo empleados que han hecho uso única y exclusivamente de su tarjeta con control presencial, y otros sobre un 40 o 50% utilizaron la huella. 8) Pese a que se dejó de usar el sistema de recogida de huella para fichaje desde 14/03/2020, tras el acuerdo de inicio, la reclamada modificó el análisis de riesgos de las actividades del tratamiento, y el registro de actividad de tratamiento para convenir que se precisa evaluación de impacto que manifiesta ha efectuado si bien no fue aportado. FUNDAMENTOS DE DERECHO I Los datos biométricos los define el artículo 4.14 del RGPD: «datos biométricos»: datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos; El ámbito de aplicación del RGPD extiende su protección, tal y como establece su artículo 1.2, a los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales, definidos en su artículo 4.1 como “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/25 De acuerdo con la información proporcionada por la reclamada, al introducir la huella en la fichadora, considerando que cada fichadora tiene todas las plantillas almacenadas de todos los empleados, para que fichen en la que deseen, se compara la misma en orden a que franquee el acceso registrando el comienzo o el final. Se estima que la comparación no se produce una contra una, la del empleado que accede con la suya, sino con todas las que están almacenadas, realizando una función de comparación uno a varios cada vez que se entra o sale. En este caso, aunque no se guarde enteramente la imagen de la huella, sino unas coordenadas, cada una de ellas en la forma de plantilla, es capaz de identificar unívocamente a cada empleado al confrontar en el terminal la toma de la huella con el resto de las existentes. Las funciones que contiene el algoritmo permiten extraer los puntos característicos de la huella para su posterior comparación con una base de datos asociada al conjunto de usuarios previamente almacenado, siendo capaz de identificar a su titular de entre todas las plantillas, tratándose datos de carácter personal basados en el procesamiento de la huella, identificando de forma única a dicha persona. Los datos biométricos presentan la particularidad de ser producidos por el propio cuerpo y lo caracterizan definitivamente. Por lo tanto, son únicos, permanentes en el tiempo y la persona no puede ser liberada de él, no se pueden cambiar en caso de compromiso-pérdida o intrusión en el sistema etc. El artículo 9.1 del RGPD, indica: “ Tratamiento de categorías especiales de datos personales” 1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.” Ante el interés creciente en utilizar estos sistemas en ámbitos diferentes y, al tratarse de sistemas de identificación novedosos y muy intrusivos para los derechos y libertades fundamentales de las personas físicas, la constante preocupación de esta autoridad de control es compartida por el resto de las autoridades desde hace años, como ponen de manifiesto el Documento de trabajo sobre biometría, adoptado el 1/08/2003 por el Grupo del 29, o el posterior Dictamen 3/2012, sobre la evolución de las tecnologías biométricas, adoptado el 27/04/2012, y que ha llevado a que el propio legislador comunitario incluya estos datos entre las categorías especiales de datos en el RGPD. De este modo, estando prohibido su tratamiento con carácter general, cualquier excepción a dicha prohibición habrá de ser objeto de interpretación restrictiva. En este sentido, los considerandos 51 y 52 del RGPD lo ponen de manifiesto: ”Tales datos personales no deben ser tratados, a menos que se permita su tratamiento en situaciones específicas contempladas en el presente Reglamento, habida cuenta de que los Estados miembros pueden establecer disposiciones específicas sobre protección de datos con objeto de adaptar la aplicación de las normas del presente Reglamento al cumplimiento de una obligación legal o al cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Además de los requisitos específicos de ese tratamiento, deben aplicarse los principios generales y otras normas del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/25 presente Reglamento, sobre todo en lo que se refiere a las condiciones de licitud del tratamiento. Se deben establecer de forma explícita excepciones a la prohibición general de tratamiento de esas categorías especiales de datos personales, entre otras cosas cuando el interesado dé su consentimiento explícito o tratándose de necesidades específicas, en particular cuando el tratamiento sea realizado en el marco de actividades legítimas por determinadas asociaciones o fundaciones cuyo objetivo sea permitir el ejercicio de las libertades fundamentales.