PS-00052-2021

1/25  Expediente Nº: PS/00052/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, el reclamante) con fecha 3/07/2020 interpuso reclamación ante la Agencia Española de Protección de Datos (AEPD) La reclamación se dirige contra el CONSORCIO PARA LA CONSTRUCCIÓN, EQUIPAMIENTO Y EXPLOTACIÓN DE LA SEDE ESPAÑOLA DE LA FUENTE EUROPEA DE NEUTRONES POR ESPALACIÓN con NIF G95455473 (en adelante, el reclamado). El reclamado declara que fue delegado sindical, pero ya no presta sus servicios para el reclamado. Los motivos en que basa la reclamación son que, desde noviembre 2019, el reclamado ha implantado en la empresa un sistema de control de presencia, fichaje horario por reconocimiento biométrico de huella. Se repartió entre los empleados un documento, identificado como 1, donde se requiere el consentimiento para el tratamiento de los datos biométricos y solicita que se determine si el reclamado ha actuado conforme a la legalidad vigente. Aporta: - DOCUMENTO 2, entregado por el reclamado, de tipo informativo, titulado “ASPECTOS LEGALES DEL FICHAJE CON LECTORES BIOMÉTRICOS DE ROBOTICS (empresa con la que contrataron el sistema) QUE DEBEN SER COMUNICADOS AL PERSONAL”, sobre las características de los sistemas biométricos de ROBOTICAS, con el literal: “Desde el momento en que un usuario pone el dedo en el lector del terminal se genera un número de identificación. Este número es el que se almacena en la memoria del terminal y el que se distribuye a los demás terminales. Este mismo número es el que sirve para comparar si la huella corresponde a un usuario o no. Este número no tiene ningún valor fuera de los terminales de ROBOTICS, ni existe forma alguna de obtener una imagen a partir del mismo es decir no es reversible” -“La AEPD determina que estos datos tienen la condición de carácter personal de categoría especial.” “Los datos almacenados en los sistemas de ROBOTICS no contienen ningún aspecto concreto de la personalidad limitando su función a identificar a un sujeto cuando la información se vincula con este.” -“En cuanto a la necesidad de que el interesado preste su consentimiento o pueda oponerse al tratamiento de sus datos biométricos debe indicarse que el artículo 7 del RGPD- Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD);-exige el consentimiento del interesado para cualquier tratamiento de sus datos de carácter personal incluidos los de categoría especial”. “El tratamiento de datos biométricos queda amparado por el artículo 9.2

1. b)del RGPD al obtener el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/25 consentimiento explícito del trabajador o ser necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento empresa -en el ámbito del derecho laboral y de la seguridad.” -“En base al artículo 20.3 del Real Decreto por el que se aprueba la ley del Estatuto de los Trabajadores, la empresa podrá adoptar las medidas más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de las obligaciones y deberes laborales, en que el uso de datos biométricos para control de acceso a dependencias de la empresa es legítimo y no desproporcionado a la finalidad del tratamiento.“ “En base al artículo 6 del RGPD el tratamiento será lícito mediante el consentimiento del interesado -empleado- o si el tratamiento es necesario para la ejecución de un contrato en el que interesado es parte”. “Es necesario que la empresa informe a sus empleados de todo lo anterior previamente al uso de dichos sistemas con el fin de facilitar dicha comunicación. ROBOTICS pone a su disposición una nota informativa que las empresas deberían entregar y hacer firmar a sus trabajadores en el momento de digitalizar sus huellas dactilares con el fin de poder acreditar ante una inspección que los trabajadores dieron su consentimiento expreso al tratamiento de datos biométricos”. “En conclusión, los datos biométricos de los sistemas de ROBOTICS permiten la identificación unívoca de individuos sin vulnerar sus derechos y libertades fundamentales.” -DOCUMENTO 3, entregado por la empresa y firmado por ROBOTICS, titulado “PROVEEDORES CONTRATADOS POR ROBOTICS CON ACCESO A DATOS“ que contiene tres empresas “que tienen acceso a nuestros datos”, una de ellas MICROSOFT IRELAND OPERATIONS LIMITED “servicio SaaS”, y dos empresas españolas: servicio de gestión de tiques soporte, y plataforma formación “e- learning”. -Copia de correo electrónico del reclamante a la empresa, de 2/10/2019, manifestándole que de acuerdo con una consulta que el formuló, la AEPD no considera preciso ni necesario el consentimiento en la implantación de la huella dactilar como sistema de fichaje, relacionado con el cumplimiento de las obligaciones. Añade que los datos son biométricos, solicitando ser informado del tratamiento de sus datos, incluyendo la evaluación de impacto. Acompaña el documento de consulta firmado por la AEPD el 30/09/2019 en el que entre otras afirmaciones se señala que en el caso planteado, “el empresario no debería recabar el consentimiento de los trabajadores para proceder a dicho tratamiento sino que este se basará en una base legitimadora distinta…” -DOCUMENTO 1, titulado: “modelo de documento de consentimiento para el tratamiento de datos biométricos”, que es un formulario para cumplimentar y firmar por empleados que contiene una parte declarativa, y otra informativa, considerándose como “prueba de conformidad”. El escrito declara que se “consiente expresamente” “a digitalizar la huella dactilar con la finalidad de llevar a cabo el control de presencia de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/25 empleados mediante reconocimiento biométrico en el que “el sistema mediante autenticación biométrica no almacena una imagen de mi huella, sino un numero generado a partir de esta.” ”he sido informado de que el número almacenado a partir de mi huella se mantendrá activo en el sistema mientras perdure mi relación laboral “ también que “no conservaran una imagen completa de la huella dactilar sino solo un número creado a partir de la huella. Dicho número no permite reconstruir la huella.” En el apartado de información se indica en legitimación:“ consentimiento del interesado”. El documento figura fechado el 7/01/2020, nota de recibí, indicando “no consiento. Solicito la supresión de todos mis datos personales de cualquier registro, base de datos o similar de la empresa o terceros a los que se hayan cedido dichos datos. “ SEGUNDO: En el marco de las actuaciones practicadas por la Subdirección General de Inspección de Datos, se traslada la reclamación con fecha 7/08/2020, con el literal: “HECHOS QUE MOTIVAN LA RECLAMACIÓN: El reclamante manifiesta que la empresa Consorcio ESS Bilbao ORG ha implantado un sistema de control de presencia mediante huella dactilar que no cumple con los parámetros establecidos por la normativa de protección de datos. DATOS RELEVANTES: Se aporta la documentación presentada con la reclamación. Se deberá informar, con lo solicitado en el párrafo siguiente y en el mismo plazo, sobre la Evaluación de Impacto realizada y toda la información facilitada a los trabajadores. En el plazo máximo de un mes, desde la recepción de este escrito, deberá analizar la reclamación y remitir a esta Agencia la siguiente información: 1. La decisión adoptada a propósito de esta reclamación. 2. En el supuesto de ejercicio de los derechos regulados en los artículos 15 a 22 del RGPD, acreditación de la respuesta facilitada al reclamante. 3. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. 4. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. 5. Cualquier otra que considere relevante.” Con fecha 8/09/2020, se recibe respuesta, manifestando: 1) Firmaron el 24/05/2019 un CONTRATO con la empresa ROBOTICS, SA. Adjuntan copia del documento denominado “propuesta”, “PROYECTO DE IMPLANTACIÓN DE LA SOLUCIÓN “VISUALTIME” SaaS” para la ESS Bilbao, oferta. Destacan como más significativos los siguientes puntos: -El modelo en que se basa la solución “VisualTime” ofertada, es el de servicio integral o SaaS, “software as a service” que incluye todos los servicios necesarios para la puesta en marcha, las instalaciones de los componentes hardware, la activación de la licencia “VisualTime”, el acceso web a sus supervisores para la explotación de la información y tratamiento, exportación e importación de datos a través del acceso web y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/25 servicio de continuidad y mantenimiento para atender solicitudes y consultas, resolver incidencias y actualizaciones periódicas del software, copias de seguridad y Protección de Datos. -El modelo funciona en una plataforma “cloud” con las ventajas de estar en la nube. -Constan cuatro terminales. -Figura en el contrato de licencia de uso y servicios, que “VisualTime” es la aplicación en la que se almacenan los datos. ROBOTICS, suscribió el contrato de alojamiento o servicios de “cloud computing” para esta operación con MICROSOFT IRELAND OPERATIONS LTD (MIO) para la correcta prestación del servicio objeto de la licencia, que se considera también encargado de tratamiento en lo que respecta al funcionamiento del servidor. El cliente autoriza expresamente al proveedor a subcontratar con MIO los servicios de hosting cloud computing para la correcta prestación del servicio objeto de licencia, lo que supone el acceso y tratamiento de los datos contenidos en el fichero titularidad del cliente denominado “recursos humanos” por ambos terceros, otorgándose al proveedor la facultad de exigir contractualmente al subcontratista la implementación en sus instalaciones de las mismas medidas de seguridad por el implementadas previstas todas ellas en el RGPD. -El ANEXO III, “seguridad de datos”,“VisualTime”” SAAS informa que, entre otra información, que ROBOTICS tratará datos de carácter personal relativos a la identificación de los empleados del cliente, datos de empleo necesarios para ofrecer las soluciones contratadas y datos biométricos. Manifiesta el reclamado que tiene certificado de que cumple con los requisitos del Esquema Nacional de Seguridad, -Existe un ANEXO IV dedicado a PROTECCIÓN DE DATOS (folio 50 del pdf “proyecto de implantación”). Se indica que el proveedor, ROBOTICS, es encargado del tratamiento y accede a los datos- propiedad del cliente como responsable del tratamientoconforme a las instrucciones del cliente siempre en modo consulta lectura y otras referencias a cuestiones de materia de seguridad que ha de cumplir. 2) Manifiesta que ROBOTICS “nos indicó que no se procede a un almacenamiento de la huella dactilar por su parte y que la aplicación de “VisualTime” no efectúa un tratamiento de datos personales especialmente sensibles, dado que los terminales de ROBOTICS no almacenan una imagen de la huella de los empleados, únicamente un número de muchos dígitos que se genera a partir de la huella. Es completamente imposible crear una fotografía o volver a obtener la huella de un empleado a partir de dicho número.” Por todo ello, no se consideró necesario efectuar una evaluación de impacto en protección de datos, puesto que no se encontraba dentro de los supuestos recogidos en el Art. 35 del RGPD.” 3) Aporta copia de DOCUMENTO 5.4. de “seguridad de protección de datos personales”, de 10/06/2019, versión 01 en el que en “5.Registro de tratamientos “no se identifican o describen cuales son, mencionando las referencias legales, un apartado 9 de “análisis de riesgos” con las referencias legales, categoriza los tipos de riesgos y el sistema general de evaluación de riesgos de los distintos tratamientos que lleven a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/25 cabo . El apartado 10:”Evaluación de impacto”, enumera la normativa legal y los actores que participan en la misma. (archivo, parte dos, pág. 35/77). de “nombramiento de delegado de protección de datos” DOCUMENTO 5.4.2. con comunicación a la AEPD el 2/12/2019 y un “Informe final sobre el proceso de implantación del sistema de Protección de Datos” de 2/12/2019 con dos folios. 4) Considera que el tratamiento de estos datos “es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del Consorcio ESS Bilbao en el ámbito del Derecho laboral y de la seguridad y protección social, de conformidad con lo establecido en el RD Ley 8/2019 del 8 de marzo, por el que se establece la obligatoriedad de las empresas de implantar un sistema de registro de jornada que debe incluir el horario concreto de inicio y finalización de la jornada de trabajo de cada trabajador. A pesar de ello, el Consorcio ESS Bilbao decidió por principios de transparencia solicitar con anterioridad a su implantación el consentimiento de todos los trabajadores. Todos los trabajadores firmaron su consentimiento.” El Consorcio ESS Bilbao “realizó las debidas comunicaciones a toda la plantilla”(5.2 del documento) en el que figuran correos electrónicos informando el 16, 23 y 27/09/2019 de: -Implantación del sistema de control horario y registro de la jornada laboral. A partir del 1 de octubre se pondrá en marcha a modo de prueba durante un mes el sistema de fichajes “VisualTime” y “ esperamos poner en marcha el sistema a toda la plantilla al 1 de noviembre”. - Se les remite: -El documento emitido por ROBOTICS en relación con el cumplimiento en materia de RGPD (“aspectos legales del fichaje con lectores biométricos de ROBOTICS que deben ser comunicados al personal”. -“Instrucciones de Jornada y horarios para ESS Bilbao acordados con los representantes de los trabajadores, así como el documento que certifica el cumplimiento del RGPD por parte de la empresa Robotics (suministradora del sistema de fichaje).” -Documento a rellenar sobre el consentimiento para el tratamiento de datos biométricos. “Detrás tenéis información detallada sobre la PD en lo que a control horario respecta”. La decisión sobre la implantación de este sistema de fichaje vino precedida por un periodo de consultas con los representantes de los trabajadores”. Aportan: -Copia de acta de reuniones mantenidas el 8/05, 23/09 y 18/11/2019 (DOCUMENTOS 5.3.1, a 5.3.3). (parte dos del archivo presentado, pág14/77) - Se adjunta como DOCUMENTO 5.3.4. y entre la documentación se entregó un listado de proveedores contratados por ROBOTICS con acceso a datos (figura en DOCUMENTO 5.1.4.) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/25 5) En archivo parte dos, (pág. 71/77), copia de informe de AUREN CONSULTORES SP, SLP de 4/09/2020 sobre el proceso progresivo de implantación del registro biométrico indica: “Para valorar el alcance el tratamiento de datos realizado por ROBOTICS se analiza junto con el Consorcio: -Las garantías ofrecidas por ROBOTICS en relación a las actividades a realizar -grado de cumplimiento con el RGPD y temas de seguridad de la información. -Características sobre el sistema técnico utilizado para tratamiento de datos huella, que se efectúa mediante la aplicación comercializada por ROBOTICS “VisualTime.” “Teniendo en consideración la información recabada del proveedor ROBOTICS (designación de DPD, certificación en el Esquema Nacional de Seguridad, contrato de servicios con descripción de medidas de seguridad, etc.), y la documentación aportadas en relación a la aplicación “VisualTime” (escrito adjunto anexo), se consideró que el proveedor ROBOTICS ofrecía garantías en temas de protección de datos y seguridad de la información, y que la aplicación comercializada “VisualTime” no efectuaba un tratamiento de datos personales especialmente sensibles. Por todo ello, no se consideró necesario efectuar una evaluación de impacto en protección de datos, puesto que no se encontraba dentro de los supuestos recogidos en el art. 35 del RGPD”. 6) Aporta en el apartado 5.1 (archivo parte uno, pág. 16/73) “información cumplimiento normativa protección de datos por ROBOTICS”, que se compone de: - documento ya mencionado “aspectos legales del fichaje con lectores biométricos de ROBOTICS que deben ser comunicados al personal” - esquema gráfico de “Terminales-Esquema de comunicaciones” con las fases: - Alta de huella: “el alta de la nueva huella se realiza en el terminal que genera y almacena un hash”. Una flecha que sale a una pantalla, indica” “VisualTime” no almacena una imagen de la huella solamente almacena el hash generado”. Otra flecha que sale a otro dibujo indica: “ la validación de las huellas se realiza en el propio terminal que compara el hash almacenado en el terminal y envía a “VisualTime” un ID de usuario conforme su validez y tipo.” -Distribución de huellas: una pantalla en la que indica “VisualTime” únicamente transmite el hash a los terminales autorizados. -Eliminación de huellas, en un dibujo de la pantalla figura “VisualTime” elimina los datos de los terminales según autorización del empleado o baja definitiva 7) Aporta copia de hoja informativa de ROBOTICS titulado “Nota informativa acerca de la protección de datos personales en los terminales”: “Los terminales de ROBOTICS no almacenan una imagen del sistema biométrico que utilizan para identificar los empleados, únicamente generan un numero de muchos dígitos a partir del dato biométriC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/25 co utilizado. Es completamente imposible crear una fotografía o volver a obtener el dato biométrico de un empleado a partir de dicho número. A efectos prácticos, esto significa que cada vez que usted se identifica mediante un dato biométrico en el terminal, se genera un número. El programa compara, luego, si este número corresponde a un empleado o no de la misma forma que lo haría con una tarjeta-.” TERCERO: La Directora de la Agencia Española de Protección de Datos acordó el 18/12/2020 admitir a trámite la reclamación presentada por el reclamante. CUARTO: Con fecha 16/09/2020, se recibió escrito del reclamante en el que especifica que la denuncia consta de dos partes: -La primera se refiere al uso de datos biométricos, que la empresa dice que no los almacena. La segunda parte se refiere al hecho de que la empresa informe a los trabajadores de que sus datos personales van a ser accesibles por la empresa instaladora, pero no informa de que a dichos datos también podrán acceder otras empresas, como MICROSOFT. Indica que la empresa tiene cuatro sedes (2 en Bizkaia, 1 en Álava y otra en Madrid) y que en las cuatro se da el mismo tratamiento de datos para todos los empleados. Por otro lado, ”quisiera ampliar la denuncia: La empresa desde hace algunos años ha empezado a tramitar las nóminas con una empresa externa.” ”Dado que la información que ceden a dicha empresa creo que incluye datos personales de categoría protegida (sueldo, identidad, nº seguridad social, DNI…) creo que debería avisar a los empleados de que dichos datos van a ser compartidos con terceros. Nunca lo ha hecho. Se lo he señalado personalmente y no han hecho nada para solucionarlo.” QUINTO: Con fecha 19/04/2021, la Directora de la AEPD acordó iniciar contra el reclamado, procedimiento sancionador de apercibimiento por por la presunta infracción del artículo 35 del RGPD, de conformidad con el artículo 83.4.
2. a)del RGPD. SEXTO: Con fecha 4/05/2021 se reciben alegaciones del reclamado, manifestando: -En la elección del encargado de tratamiento para el sistema de registro de jornada laboral de los empleados tuvieron diligencia para escogerle, “examinando los riesgos que implicaba el uso de dicho registro” ”dotándose el mismo de medidas técnicas y organizativas adecuadas”, “contando con una certificación ISO 27001, aportan documento 1 - “Entendiendo ahora el criterio de la AEPD sobre el tratamiento de datos biométricos especialmente protegidos y la necesidad de elaborar una Evaluación de Impacto en el caso que aquí nos ocupa, procederemos a realizar la misma en la mayor brevedad posible.” -Aporta documentación que ya ha sido aportada previamente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/25 -ANEXO III, “seguridad de datos”,“VisualTime””, que forma parte del contrato con ROBOTICS, (3/53). -Documento consentimiento. -Documento seguridad- protección de datos.(versión todavía 01, de 10/06/2019) que figura como referido en documento 5.4 SÉPTIMO: Con fecha 13/12/2021, se emite propuesta de resolución con el siguiente literal: “PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a CONSORCIO PARA LA CONSTRUCCIÓN, EQUIPAMIENTO Y EXPLOTACIÓN DE LA SEDE ESPAÑOLA DE LA FUENTE EUROPEA DE NEUTRONES POR ESPALACIÓN, con NIF G95455473, por una infracción del artículo 35 del RGPD, tipificada en el artículo 83.4
3. a)del RGPD, y a efectos de prescripción, en el artículo 73.
4. t)de la LOPDGDD, con apercibimiento. SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se proceda a imponer a CONSORCIO PARA LA CONSTRUCCIÓN, EQUIPAMIENTO Y EXPLOTACIÓN DE LA SEDE ESPAÑOLA DE LA FUENTE EUROPEA DE NEUTRONES POR ESPALACIÓN, en el plazo que se determine, la adopción de las medidas necesarias para adecuar a la normativa de protección de datos personales las operaciones de tratamiento que realiza, con el alcance expresado en los Fundamentos de Derechos de esta propuesta de resolución.” Con fecha 22/12/2021 se presentan alegaciones manifestando que al recibir la propuesta han cesado en el uso de la herramienta de uso de los daos biométricos como control horario, adoptando el sistema de control mediante tarjetas identificativas. Aporta copia de pedido de tarjetas de proximidad, fecha entrega 27/12/2021. Solicita que no se imponga sanción. OCTAVO: De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS 1) El reclamado decidió iniciar en 2019 la implantación progresiva de un sistema control de presencia, fichaje horario por reconocimiento biométrico de huella. 2) El reclamado basa la licitud del citado tratamiento en al menos tres motivos: -“es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del Consorcio ESS Bilbao en el ámbito del Derecho laboral y de la seguridad y protección social”,(artículo 6.1b) del RGPD, “de conformidad con lo establecido en el RD Ley 8/2019 del 8 de marzo, por el que se establece la obligatoriedad de las empresas de implantar un sistema de registro de jornada que debe incluir el horario concreto de inicio y finalización de la jornada de trabajo de cada trabajador” (6.1.
5. c)del RGPD). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/25 A pesar de ello, el Consorcio ESS Bilbao decidió por principios de transparencia solicitar con anterioridad a su implantación el consentimiento de todos los trabajadores (6.1.a del RGPD), indicando que todos los trabajadores firmaron su consentimiento, si bien el del reclamante no figura mas que el recibí el 7/01/2020, con la nota de “no consiento”. 3) El reclamado informó a la plantilla del sistema a implantar. También consta que se mantuvieron reuniones con los representantes de los trabajadores. Declara el reclamado que el sistema se iba a implantar en modo de prueba a partir del 1/10/2019 y para toda la plantilla a partir del 1/11/2019. 4) El reclamado aporta copia de contrato de encargo de tratamiento firmado el 24/05/2019 con ROBOTICS. ROBOTICS accede a datos del reclamado almacenados en el fichero “recursos humanos” conforme a las instrucciones del reclamado. Los datos se almacenan en la aplicación VISUALTIME, solución de software integral, en la que toda la infraestructura subyacente, el middleware, el software y los datos de las aplicaciones se encuentran en el centro de datos del proveedor. Para el almacenamiento de los datos, ROBOTICS tiene suscrito un contrato de alojamiento de “cloud computing” con MICROSOFT IRELAND OPERATIONS LTD que se considera subencargado del tratamiento en lo que respecta al funcionamiento del servidor. 5) El sistema de registro y uso de huella dactilar de los empleados, de acuerdo con el documento de ROBOTICS, denominado “ASPECTOS LEGALES DEL FICHAJE CON LECTORES BIOMÉTRICOS DE ROBOTICS QUE DEBEN SER COMUNICADOS AL PERSONAL” consiste en que: “Se almacena un número generado a partir de características físicas de una persona”. “Desde el momento en que un usuario pone el dedo en el lector del terminal (disponen de cuatro), se genera un número de identificación. Este número es el que se almacena en la memoria del terminal y el que se distribuye a los demás terminales. Este mismo número es el que sirve para comparar si la huella corresponde a un usuario o no. Este número no tiene ningún valor fuera de los terminales de ROBOTICS, ni existe forma alguna de obtener una imagen a partir del mismo es decir no es reversible”. Sobre el alta de la huella, el reclamado indicó que “ se realiza en el terminal que genera y almacena un hash”. “VisualTime” no almacena una imagen de la huella solamente almacena el hash generado”. “ la validación de las huellas se realiza en el propio terminal que compara el hash almacenado en el terminal y envía a “VisualTime” un ID de usuario conforme su validez y tipo.” -Distribución de huellas: una pantalla en la que indica “VisualTime” únicamente transmite el hash a los terminales autorizados. 6) El reclamado cuenta con un documento de seguridad genérico, versión 1, de 10/06/2019, que aportó en su respuesta al traslado a la reclamación y en alegaciones a la propuesta, que contiene indicaciones genéricas para la seguridad de los tratamientos. El reclamado no dispone del documento de evaluación de impacto de protección de datos de los datos biométricos que trata en relación a su finalidad de control horario. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/25 7) Tras la propuesta de resolución, el reclamado manifestó que ha cesado el tratamiento de la huella dactilar, cambiando al sistema de tarjeras de proximidad. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II El ámbito de aplicación del RGPD extiende su protección, tal y como establece su artículo 1.2, a los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales, definidos en su artículo 4.1 como “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.” Los datos biométricos los define el artículo 4.14 del RGPD: «datos biométricos»: datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos; Ante el interés creciente en utilizar estos sistemas en ámbitos diferentes y, al tratarse de sistemas de identificación novedosos y muy intrusivos para los derechos y libertades fundamentales de las personas físicas, la constante preocupación de esta autoridad de control es compartida por el resto de las autoridades desde hace años, como ponen de manifiesto el Documento de trabajo sobre biometría, adoptado el 1/08/2003 por el Grupo del 29, o el posterior Dictamen 3/2012, sobre la evolución de las tecnologías biométricas, adoptado el 27/04/2012, y que ha llevado a que el propio legislador comunitario incluya estos datos entre las categorías especiales de datos en el RGPD. El artículo 9.1 del RGPD, indica: “ Tratamiento de categorías especiales de datos personales” 1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/25 De este modo, estando prohibido su tratamiento con carácter general, cualquier excepción a dicha prohibición habrá de ser objeto de interpretación restrictiva. Los datos biométricos presentan la particularidad de ser producidos por el propio cuerpo y lo caracterizan definitivamente. Por lo tanto, son únicos, permanentes en el tiempo y la persona no puede ser liberada de él, no se pueden cambiar en caso de compromiso-pérdida o intrusión en el sistema etc. A diferencia de una contraseña, en caso de pérdida no se pueden cambiar. Por otra parte, también existen riesgos evidentes si la tecnología utilizada no garantiza de manera suficiente que la plantilla obtenida a partir de los datos biométricos no coincidirá con la utilizada en otros sistemas similares. Es innegable que la utilización de sistemas basados en reconocimiento biométrico puede tener ventajas, como el registro de jornada, ahora bien, no parece que sea el único sistema que permita garantizarlo. Habrá que cuestionar si es necesario el tratamiento en relación con el fin que se persigue y la proporcionalidad objetiva del tratamiento. Estos elementos han de estudiarse junto con los principios informadores de la normativa que nos ocupa, para así poder determinar si las medidas implantadas son proporcionales a la intrusión en la esfera privada de los interesados que suponen. La centralización de datos almacenados en servidores aumenta el riesgo de apropiación indebida de datos, así como la gravedad de las consecuencias de una potencial falla del sistema. A ello se añaden los productos que ofrecen los desarrolladores y diseñadores de productos relacionados con los datos biométricos, como el software y la verificación de su adaptación a estándares de seguridad existentes o que puedan surgir. De acuerdo con la información proporcionada por el reclamado, al introducir la huella, se ha generado “un número con muchos dígitos “ mediante la función hash (aplicación de un algoritmo) que proporciona un valor único. Lo que quiere decir es que la información biométrica recogida, en este caso, la imagen de una huella dactilar, se procesa siguiendo procedimientos definidos en estándares y el resultado de ese proceso se almacena en registros de datos denominados firmas, patrones o “templates”. Estos patrones registran numéricamente las características físicas que permiten diferenciar personas. En el terminal o fichadora, se compara el patrón ofrecido cuando se introduce el dedo con el almacenado, en orden al registro de la jornada. Se estima que la comparación no se produce una contra una, la del empleado que accede con la suya, sino con todas las que están almacenadas, realizando una función de comparación uno a varios cada vez que se entra o sale. En este caso, aunque no se guarde enteramente la imagen de la huella, sino unos dígitos, cada una de ellas en la forma de plantilla, es capaz de identificar unívocamente a cada empleado al confrontar en el terminal la toma de la huella con el resto de las existentes. Las funciones que contiene el algoritmo permiten extraer los puntos característicos de la huella para su posterior comparación con una base de datos asociada al conjunto de usuarios previamente almacenado, siendo capaz de identificar a su titular de entre todas las plantillas, tratándose datos de carácter personal basados en el procesamiento de la huella, identificando de forma única a dicha persona. Queda así, acreditado que el reclamado trata datos personales de carácter biométrico de sus empleados, en este caso con un fin de registro horario. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/25 III De la prohibición de partida del tratamiento de los datos biométricos y su excepcionalidad son muestra los considerandos 51 y 52 del RGPD, indicando: ”Tales datos personales no deben ser tratados, a menos que se permita su tratamiento en situaciones específicas contempladas en el presente Reglamento, habida cuenta de que los Estados miembros pueden establecer disposiciones específicas sobre protección de datos con objeto de adaptar la aplicación de las normas del presente Reglamento al cumplimiento de una obligación legal o al cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Además de los requisitos específicos de ese tratamiento, deben aplicarse los principios generales y otras normas del presente Reglamento, sobre todo en lo que se refiere a las condiciones de licitud del tratamiento. Se deben establecer de forma explícita excepciones a la prohibición general de tratamiento de esas categorías especiales de datos personales, entre otras cosas cuando el interesado dé su consentimiento explícito o tratándose de necesidades específicas, en particular cuando el tratamiento sea realizado en el marco de actividades legítimas por determinadas asociaciones o fundaciones cuyo objetivo sea permitir el ejercicio de las libertades fundamentales.