PS-00129-2020

1/12  Procedimiento Nº: PS/00129/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Las reclamaciones interpuestas por dos RECLAMANTES, véase ANEXO GENERAL tienen entrada con fechas 10/04 y 13/05/2019, respectivamente, en la Agencia Española de Protección de Datos. La reclamación se dirige contra AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA, con CIF Q2826000H (en adelante, la reclamada). Los motivos en que se basan las reclamaciones son que en la Delegación de la Agencia Estatal de Administración Tributaria de ***LOCALIDAD.1, sita en la ***DIRECCIÓN.1 de ***LOCALIDAD.1, se tiene previsto instalar un sistema de acceso y control horario para funcionarios y personal laboral basado en un sistema de huella digital. Los reclamantes manifiestan que se “ha empezado a requerir la obtención de la firma a través del correo electrónico”. Indican que se ha intentado, obtener información respecto de la legalidad de la cesión de esos datos así como del correcto tratamiento de los mismos y que los datos que el empleador pretende obtener constituyen datos especialmente protegidos (datos biométricos). Tales datos se describen en el artículo 9.1 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD). El artículo 9.2.b del RGPD exceptúa a esa prohibición de tratamiento si este es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas, no existiendo la preceptiva evaluación de impacto a la protección de datos derivadas de dicho tratamiento vulnerando lo previsto en el artículo 35 del Reglamento. Consideran que la implantación del sistema no es proporcional y no se ajusta a la legalidad prevista. Reclamante 1, que manifiesta ser funcionario ( expediente E/5312/2019) aporta copia de un correo electrónico “enviado a los funcionarios” de la reclamada, de 10/04/2019, titulado “nuevo sistema de identificación mediante huella dactilar para control de accesos y horario en la Delegación de ***LOCALIDAD.1”, en el que se informa: - De la implantación del sistema y que se va a ir convocando a los empleados para la toma de la huella. Figura la fecha en la que es convocado. -El sistema de recogida registra “ciertas minucias de la huella, no la imagen de la misma”, “no es posible reconstruir la huella a la que caracterizan”. “Esta información se guarda C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/12 encriptada” -La AEAT es responsable del tratamiento, indicando que se aplica el articulo 9.2.1

1. b)como excepción para el citado tratamiento al entender necesario para el cumplimiento de obligaciones y ejercicio de derechos específicos del responsable o del interesado en el ámbito del derecho laboral, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;”, indicando que “no requerirá el consentimiento, cuando el tratamiento de datos se realice para el cumplimiento de relaciones contractuales de carácter laboral, “con independencia de si se trata de datos especialmente protegidos o no “A a partir de la toma de la huella coma cada empleado deberá fichar en los tornos, indistintamente con huella o DNI electrónico para la entrada o salida del centro de trabajo” Se acompaña un documento ANEXO pdf: “fichero información torno” si bien no se refiere su contenido por lo que no puede ser leído. -También se agrega un escrito que se titula “nuevo sistema de identificación mediante huella dactilar para control accesos y horarios en la delegación de ***LOCALIDAD.1”, que contiene la información sobre cobertura jurídica así como “información básica sobre protección de datos”, finalidad, base jurídica, responsable, derechos e información adicional detallada haciendo clic en vinculo. -Copia del documento de “Guía rápida de uso control de acceso de la AEAT” que acompaña, y además de una explicación gráfica de la posición del dedo y presión en el lector, figura que cuando se introduce la huella, “se está cotejando contra 1.000”, y “finaliza cuando aparece en pantalla su nº de DNI” Reclamante 2 ( expediente E/6247/2019), añade que el sistema del DNI electrónico de cada trabajador se usa si se produce un error del mecanismo de la huella y que el sistema se está implantado progresivamente en toda España, y que no se ha informado previamente a cada trabajador de los fines y demás exigencias legales preceptivas para el tratamiento. SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió a realizar las siguientes actuaciones: Las reclamaciones fueron trasladadas a la reclamada para su análisis y comunicación a los reclamantes de la decisión adoptada al respecto. Igualmente, se le requería para que en el plazo de un mes remitiera a la Agencia determinada información: - Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/12 - Cualquier otra que considere relevante. Para reclamante 2, se traslada reclamación y se reciben respuestas de 29/07 y 10/10/2019. Se indica que los procesos responden a la necesidad de homogenizar los sistemas de control de accesos y presencia del personal a los diversos edificios de la Agencia Tributaria pues en unos hay tornos, mientras que en otros solamente hay dispositivos en pared para fichar, considerando el sistema de registro de huella de más fácil utilización que el sistema de lectores de banda magnética en tarjeta, que era un sistema más débil y generaba muchas incidencias en la gestión del ciclo de vida de las tarjetas, incluida la gestión de la pérdida borrado etcétera. Con un entorno de más de 26000 empleados y más de 400 edificios, el proyecto se inició en el 2016. Se seleccionó esta medida por una serie de garantías como que solo se guardan unas minucias en el momento en que se registra la huella. Las minucias se almacenan cifradas y se guardan en un sistema descentralizado desde donde se distribuyen a los tornos de los edificios cuando los empleados están autorizados expresamente a acceder. Cada empleado está autorizado para acceder a los edificios concretos y en los tornos de estos se descargan las minucias cifradas para que cada vez que el usuario quiera entrar o salir se puedan comparar con la huella que se pone en el lector. En junio del 2017 se abordó el inicio del despliegue de la solución. En una fase piloto se efectuaron trabajos por el grupo de trabajo de adecuación al Reglamento General de Protección de Datos, de la comisión de seguridad y control e informática tributaria, llegando a la conclusión de su viabilidad y proporcionalidad sobre la base de la legitimación de la Agencia Tributaria para realizar el control de acceso y horario de sus empleados. Cuando entró en vigor el RGPD ya se contemplaba la existencia del dato biométrico en el fichero de personal y en el registro de actividades de tratamiento. La implantación se realizará paulatinamente en todos los edificios de la Agencia Tributaria. No tiene fecha de finalización. Se distribuyó información e instrucciones a las oficinas donde se iba a iniciar la implantación del sistema para su distribución entre los empleados con la información del sistema y las garantías de cada convocatoria del empleado para que pasase por personal a realizar el registro de las huellas antes de iniciar la integración las oficinas que lo han considerado oportuno. Han distribuido esta información de forma personalizada enviando un correo electrónico a cada empleado. En ANEXO 1 adjunta en evidencia de correo corporativo con la información facilitada a empleados utilizado en la delegación especial de ***LOCALIDAD.1. En cuanto a las cuestiones planteadas: -Consideran que la información proporcionada a los empleados de las oficinas es completa clara y concisa. Se recogen las bases legales sobre las que se realiza el control de acceso y se explican las garantías y se facilita la información básica que requiere el reglamento. Se ofreció un enlace de la intranet de la Agencia Tributaria y se accede a más información detallada. Se puede consultar el registro de actividades de tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/12 No consta la solicitud de ampliación de información sobre el sistema en el buzón de contacto de consultas realizadas al Delegado de Protección de Datos -En cuanto a la consideración de excesivo el tratamiento cuando existen otras alternativas incide en que también se informa a los empleados de que no se almacenan las huellas dactilares sino solo unas minucias o trazas que se contrastan en el momento de realizar el control de acceso. A partir de esas minucias no es posible reconstruir la huella completa y estas minucias se almacenan cifradas. Aporta copia de ANEXO I que contiene el mismo correo electrónico aportado por reclamante 1, de 10/04/2019 y los adjuntos anexos. En ANEXO II, el contenido informativo del acceso al enlace ofrecido en la información. Aporta ANEXO III, copia de modelo convocatoria a registro de huella -que coincide con el aportado por Reclamante 1, “información básica sobre sobre protección de datos”, finalidad, base jurídica, responsable, derechos e información adicional detallada haciendo clic en vinculo se completa la información – informando entre otros extremos: “Como alternativa a la identificación mediante los lectores de huella dactilar, para los casos en que se planteen problemas técnicos de reconocimiento, el nuevo sistema permitirá también la identificación mediante DNI electrónico. En este caso la identificación se basa en la lectura de la parte pública de este certificado, que permite consultar los datos básicos de identificación (número del DNI, nombre y apellidos), sin necesidad de que el trabajador proporcione el PIN que protege el uso de los certificados para finalidades de autentificación en servicios electrónicos o procesos de firma, ni se accederá a los datos que pueda tener archivado el chip del DNI. En este caso la cobertura jurídica del tratamiento de datos se basa en el artículo 6.1.
2. b)del Reglamento (UE) 2016/679.” En ANEXO II, el resultante del acceso al enlace ofrecido en la información básica sobre protección de datos, que informa en general sobre el tratamiento de datos de los empleados públicos para el cumplimiento de obligaciones legales en materia de personal, incluyéndose entre otros los datos de control horario. En el segundo envío remite copia de la EIPD. El 2/07 y el 9/09/2019 la reclamada responde a reclamación 1. Aporta copia de EIPD Huella dactilar En escrito de respuesta a las cuestiones planteadas por la AEPD indica que reclamante 1 es trabajador de la AEAT y responde las cuestiones con los mismos argumentos que para reclamante 2. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/12 TERCERO: El 23/09 y 25/11/2019, de conformidad con el artículo 65 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite las reclamaciones presentadas. CUARTO: Con fecha 30/09/2020 la Directora de la AEPD acordó : “INICIAR PROCEDIMIENTO SANCIONADOR a AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA, con CIF Q2826000H, por la presunta infracción del artículo 13 del RGPD, contemplada en el artículo 83.5.
3. b)del citado Reglamento. A los efectos previstos en el art. 64.2
4. b)de la ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que pudiera corresponder sería de Apercibimiento”. QUINTO: La reclamada con fecha 15/10/2019 presenta las siguientes alegaciones: Reclamante 2 no es empleado de la Agencia Tributaria y respecto a reclamante 1, el 26/04/2019 se le remitió, como a otros, en su misma situación, correo electrónico convocándole para el registro de las minucias de su huella dactilar. Adjuntan copia de dicho correo en el que se le informa del funcionamiento del sistema, responsable la Agencia Tributaria, de la base legitimadora y del sistema indistinto de la huella o el DNI electrónico para la entrada y salida del centro de trabajo y se le convoca para realizar la toma de la huella dactilar el 3/05. Se adjuntaba además un documento denominado “fichero de información tornos”, con un contenido informativo sobre el sistema de la huella dactilar en el que, además, se contiene información básica sobre Protección de Datos, con el responsable, la finalidad, la base jurídica de los tratamientos, los destinatarios y una información adicional y detallada con un enlace. Este correo electrónico, además lo recibió el reclamante 1 constando incluso acuse de recibo de 26/04/2019. -Añade que sobre la infracción del artículo 13, que concreta el principio de transparencia del artículo 5.1 a del RGPD, consideran que los datos han sido obtenidos directamente del interesado y se le ha informado con información básica y con un enlace para acceder de forma sencilla inmediata a la restante información. La información se contiene sobradamente en el documento en el que se convoca a cada empleado para tomar sus datos biométricos pues se refiere que el responsable es la Agencia Tributaria se indica también la finalidad del tratamiento y la posibilidad de ejercer los derechos por lo tanto se estima que se cumplen los requisitos. Aporta de nuevo copia de la EIP de huella dactilar. Como ANEXO 2, la información que figura pinchando el enlace que aparece en los correos electrónicos de información y comunicación a los empleados y que proporciona y amplía la información de los tratamientos relacionados con la gestión de recursos humanos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/12 Aporta modelo convocatoria registro huella, en el que se contiene el apartado de información básica sobre Protección de Datos y el enlace que amplía los detalles y la información adicional. En ANEXO 4 aporta convocatoria 26/04/2020 nuevo sistema de identificación mediante huella dactilar. Se trata de un correo enviado el 26/04/2019 a personal de la Agencia Tributaria, figurando entre otros el reclamante 1. Nuevamente, el correo electrónico contiene información sobre el sistema, la base legitimadora y el sistema alternativo indistinto del DNI electrónico y el fichero pdf denominado “fichero información torno” del que se aporta copia para su lectura. El documento coincide con el relato informativo del sistema, y que contiene el apartado de información básica sobre Protección de Datos y el enlace a la información adicional y detallada sobre la Protección de Datos, así como un esquema gráfico denominado “guía rápida de uso de control de acceso”. También aporta copia del acuse de recibo 26/04/2019 del correo electrónico enviado al reclamante 1. SEXTO: Con fecha instructor. 22/04/2021 se acuerda por la Directora de la AEPD cambio de SÉPTIMO: Se emitió propuesta de resolución con el siguiente literal: “Que por la Directora de la Agencia Española de Protección de Datos se declare el ARCHIVO del procedimiento por inexistencia de infracción de la AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA, con CIF Q2826000H, por la presunta infracción del artículo 13 del RGPD, de acuerdo con el artículo 83.5
5. b)del RGPD.” Frente a la propuesta no se recibieron alegaciones. HECHOS PROBADOS 1- En la Delegación de la Agencia Estatal de Administración Tributaria de ***LOCALIDAD.1, ***DIRECCIÓN.1 de ***LOCALIDAD.1, se tiene previsto instalar un sistema de acceso , control y registro horario para funcionarios y personal laboral basado en un sistema de huella digital. Paulatinamente, el sistema se está implantado en toda España, 2-Se acredita que la reclamada remite un correo electrónico a los empleados, siendo reclamante 1 funcionario, el 10/04/2019, titulado “nuevo sistema de identificación mediante huella dactilar para control de accesos y horario en la Delegación de ***LOCALIDAD.1”, (modelo convocatoria registro huella) en el que se informa: - De la implantación del sistema del que es responsable del tratamiento, y de la próxima citación a cada empleado para la toma de la huella. -El sistema de recogida registra “ciertas minucias de la huella, no la imagen de la misma”, “no es posible reconstruir la huella a la que caracterizan” y la “información se guarda C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/12 encriptada” -La AEAT, indica que se aplica el articulo 9.2.1
6. b)como excepción para el citado tratamiento al entender necesario para el cumplimiento de obligaciones y ejercicio de derechos específicos del responsable o del interesado en el ámbito del derecho laboral. Se acompaña con el correo electrónico: -Un documento ANEXO pdf: “fichero información torno” que se titula “nuevo sistema de identificación mediante huella dactilar para control accesos y horarios en la delegación de ***LOCALIDAD.1”, que contiene la información sobre cobertura jurídica así como “información básica sobre protección de datos”, finalidad, base jurídica, responsable, derechos e información adicional detallada. Figura además la referencia a un enlace en el que haciendo clic en vinculo se añade información. El documento “Guía rápida de uso control de acceso de la AEAT” con una explicación gráfica de la posición del dedo y presión en el lector, figurando que cuando se introduce la huella, “se está cotejando contra 1.000”, y “finaliza cuando aparece en pantalla su nº de DNI”. 3- La reclamada dispone de documento de evaluación de impacto de protección de datos sobre el sistema de recogida, registro de huella dactilar para la finalidad de registro y control horario. 4-La reclamada aporta copia del mismo contenido del correo que aportó reclamante 1, si bien este envío prevé otra fecha de convocatoria a recogida de huella y se ve su nombre y apellidos como destinatario, siendo enviado el 26/04/2020. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para resolver este procedimiento. II Los datos biométricos están estrechamente vinculados a una persona, dado que pueden utilizar una determinada propiedad única de un individuo para su identificación o autenticación. Según el Dictamen 3/2012 sobre la evolución de las tecnologías biométricas, “Los datos biométricos cambian irrevocablemente la relación entre el cuerpo y la identidad, ya que hacen que las características del cuerpo humano sean legibles mediante máquinas y estén sujetas a un uso posterior.” En relación con ellos, el Dictamen precisa que cabe distinguir diversos tipos de tratamientos al señalar que “Los datos biométricos pueden tratarse y almacenarse de diferentes formas. A veces, la información biométrica capturada de una persona se almacena y se trata en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/12 bruto, lo que permite reconocer la fuente de la que procede sin conocimientos especiales; por ejemplo, la fotografía de una cara, la fotografía de una huella dactilar o una grabación de voz. Otras veces, la información biométrica bruta capturada es tratada de manera que solo se extraen ciertas características o rasgos y se salvan como una plantilla biométrica.” El tratamiento de estos datos está expresamente permitido por el RGPD cuando el empresario cuenta con una base jurídica, que de ordinario es el propio contrato de trabajo. A este respecto, la STS de 2 de julio de 2007 (Rec. 5017/2003), que ha entendido legitimo el tratamiento de los datos biométricos que realiza la Administración para el control horario de sus empleados públicos, sin que sea preciso el consentimiento previo de los trabajadores. Sin embargo, debe tenerse en cuenta lo siguiente: - El trabajador debe ser informado sobre estos tratamientos. - Deben respetarse los principios de limitación de la finalidad, necesidad, proporcionalidad y minimización de datos. En todo caso, el tratamiento también deberá ser adecuado, pertinente y no excesivo en relación con dicha finalidad. Por tanto, los datos biométricos que no sean necesarios para esa finalidad deben suprimirse y no siempre se justificará la creación de una base de datos biométricos (Dictamen 3/2012 del Grupo de Trabajo del art. 29). - Uso de plantillas biométricas: Los datos biométricos deberán almacenarse como plantillas biométricas siempre que sea posible. La plantilla deberá extraerse de una manera que sea específica para el sistema biométrico en cuestión y no utilizada por otros responsables del tratamiento de sistemas similares a fin de garantizar que una persona solo pueda ser identificada en los sistemas biométricos que cuenten con una base jurídica para esta operación. - El sistema biométrico utilizado y las medidas de seguridad elegidas deberán asegurarse de que no es posible la reutilización de los datos biométricos en cuestión para otra finalidad. - Deberán utilizarse mecanismos basados en tecnologías de cifrado, a fin de evitar la lectura, copia, modificación o supresión no autorizadas de datos biométricos. - Los sistemas biométricos deberán diseñarse de modo que se pueda revocar el vínculo de identidad. - Deberá optarse por utilizar formatos de datos o tecnologías específicas que imposibiliten la interconexión de bases de datos biométricos y la divulgación de datos no comprobada. - Los datos biométricos deben ser suprimidos cuando no se vinculen a la finalidad que motivó su tratamiento y, si fuera posible, deben implementarse mecanismos automatizados de supresión de datos. III C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/12 La legitimación para el tratamiento de la huella dactilar para el control de los trabajadores por parte del empleador debemos buscarlo en el artículo 9 y 6 del RGPD. El artículo 9 del RGPD establece en sus apartados 1 y 2.
7. b)lo siguiente: “1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientaciones sexuales de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes: …
8. b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado.” El artículo 6.1.
9. b)del RGPD indica: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones:
10. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales.” La reclamada tiene legitimación, fundamentada en la normativa señalada, para efectuar el control laboral de sus trabajadores, siempre que cumpla los requisitos indicados en el Fundamento de Derecho segundo. La infracción imputada en el acuerdo de inicio del artículo 13 del RGPD, era por no informar con todas las garantías del tratamiento previsto, adopción del mecanismo para el control de horario a los empleados mediante huella digital. En este artículo se determina la información que debe facilitarse al interesado en el momento de la recogida de sus datos, estableciendo lo siguiente: “Artículo 13. Información que deberá facilitarse cuando los datos personales se obtengan del interesado. 1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
11. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
12. b)los datos de contacto del delegado de protección de datos, en su caso; C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/12
13. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento; 4.5.2016 L 119/40 Diario Oficial de la Unión Europea ES
14. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
15. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
16. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
17. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
18. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
19. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
20. d)el derecho a presentar una reclamación ante una autoridad de control;
21. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
22. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. En cuanto a la infracción imputada de falta de información, queda acreditado no solo que se ha dado, sino que la que se lo ha sido antes de la recogida de los datos, y se estima C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/12 suficiente, adecuada y amplia. Se da sentido y explica en que consiste el registro de la huella, sus fines, y de modo gráfico el funcionamiento del sistema. Si bien parte de las reclamaciones, ambas aluden a que no había obtenido información adicional, se debe indicar que la información proporcionada así como los enlaces añadidos son adecuados y no suponen merma de derechos de los afectados. Se ha ofrecido la información que contempla el RGPD y la LOPDGDD, advirtiendo que la reclamada ha ido preparando la aplicación paulatina de las medidas con las adaptaciones organizativas y técnicas que implican el despliegue del sistema, por lo que el procedimiento debe ser archivado al no existir infracción. Por lo tanto, de acuerdo con la legislación aplicable, la Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DECLARAR el ARCHIVO del procedimiento por inexistencia de infracción del artículo 13 del RGPD de la AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA, con CIF Q2826000H. SEGUNDO: NOTIFICAR la presente resolución a AGENCIA ADMINISTRACIÓN TRIBUTARIA con el envío del Anexo General adjunto. ESTATAL DE TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Finalmente, se señala que conforme a lo previsto en el art. 90.3
23. a)de la LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia Española de Protección de Datos, presentándolo a través del Registro Electrónico de la Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También deberá trasladar a la Agencia la documentación que acredite la interposición efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día siguiente a la notificación de la presente resolución, daría por finalizada la suspensión cautelar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/12 938-131120 Mar España Martí Directora de la Agencia Española de Protección de Datos ANEXO GENERAL RECLAMANTE 1- D. A.A.A. RECLAMANTE 2- D.B.B.B. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es