PS-00131-2020

1/14  Procedimiento Nº: PS/00131/2020 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A., en representación de TRABAJADORES DEL CENTRO INTEGRADO DE FORMACIÓN PROFESIONAL SOMESO (en adelante, el reclamante), con fecha 08/11/2019, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CONSELLERÍA DE EDUCACIÓN, UNIVERSIDAD Y FORMACIÓN PROFESIONAL DE LA XUNTA DE GALICIA con NIF S1511001H (en adelante, el reclamado). Los motivos en que basa la reclamación son: la disconformidad con la implantación de un sistema de control de acceso y horario mediante huella dactilar sin que se les haya informado a los trabajadores de conformidad con lo establecido en la normativa sobre protección de datos de carácter personal. SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió a realizar las siguientes actuaciones: El 04/12//2019 fue trasladada al reclamado la reclamación presentada para su análisis y comunicación al reclamante de la decisión adoptada al respecto. Igualmente, se le requería para que en el plazo de un mes remitiera a la Agencia determinada información: - Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. - Cualquier otra que considere relevante. El 09/01/2020 la Consejería en respuesta a la reclamación presentada por los trabajadores manifiesta, en síntesis, que no se ha implantado un sistema de control horario mediante huella dactilar como sistema único de gestión, sino que el uso de la huella dactilar corresponde a una modalidad alternativa y voluntaria a la firma biométrica para los trabajadores, establecida de conformidad con la normativa de protección de datos. Y aporta: Modelo de consentimiento para el tratamiento de datos biométricos e Información sobre el sistema de gestión de asistencia. TERCERO: El 30/03/2020, de conformidad con el artículo 65 de la LOPDGDD, la DiC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/14 rectora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante contra el reclamado. CUARTO: Con fecha 30/09/2020, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta infracción del artículo 13 del RGPD, tipificada en el artículo 83.5.

1. b)del citado Reglamento y sancionada conforme a lo dispuesto en el artículo 77 de la LOPDGDD. QUINTO: Notificado el acuerdo de inicio, el reclamado, en fecha 15/10/2020, presentó escrito de alegaciones manifestando lo siguiente: que recibido el acuerdo de inicio se llevó a cabo la investigación de los hechos solicitando información detallada al centro educativo; que son los directores/as de centros docentes públicos de Galicia los que adoptan decisiones concretas de organización y gestión que pueden implicar el tratamiento de datos personales; que en el CIFP Someso se ha implantado un sistema electrónico de gestión de asistencias del personal que presta servicios y debido la forma en que se realizaba dicho control no resultaba efectiva para el adecuado cumplimiento de los fines; que actualmente el sistema electrónico de gestión de asistencias del personal que presta servicio en el CIFP Someso se realiza mediante firma en una tableta o computadora portátil y también una modalidad opcional, más ágil y cómoda, que funciona con el registro de la huella dactilar, cuyo uso está suspendido en la actualidad; que en relación con la Evaluación de impacto realizada, la Consellería está abordando actualmente un proyecto global de adecuación a la normativa de protección de datos, con la finalidad de elaborar un registro de actividades de tratamiento mucho más pormenorizado y completo que el actualmente publicado y que culminará con la realización de las evaluaciones de impacto de aquellos tratamientos en los que sea necesario; que el deber de información fue cumplido poniendo a disposición de todo el personal la información relativa al tratamiento efectuado; que se requirió además a la dirección del centro cese inmediato en el uso del sistema de control de acceso y horario mediante huella dactilar, así como el borrado de los datos biométricos que fuesen recabados a tal objeto y de cualquiera traza de los mismos; que para evitar que puedan reiterarse situaciones similares a la que es objeto de este procedimiento, desde la Consellería se está trabajando en la actualización y ampliación del Protocolo de Protección de Datos en el ámbito educativo con el propósito de conseguir homogeneizar, en lo posible, los requisitos y medidas a adoptar en materia de protección de datos, en las contrataciones llevadas a cabo directamente por los centros docentes. SEXTO: Con fecha 21/10/2020 se inició un período de práctica de pruebas, acordándose las siguientes - Dar por reproducidos a efectos probatorios la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte del expediente E/11349/2019. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio presentadas por el reclamado y la documentación que a ellas acompaña. SEPTIMO: El 29/03/2021 fue emitida Propuesta de Resolución en el sentido de que se sancionara al reclamado por infracción del artículo 13 del RGPD, tipificada en el artícuC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/14 lo 83.5.
2. b)del RGPD, con apercibimiento de conformidad con el artículo 77 de la LOPDGDD. Transcurrido el plazo legalmente señalado al tiempo de la presente Resolución el reclamado no había presentado escrito de alegaciones. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El reclamante presento escrito con fecha de entrada 08/11/2019 en la Agencia Española de Protección de Datos, manifestando su disconformidad con la implantación del sistema de control de acceso y horario mediante huella dactilar por el reclamado sin que a los trabajadores se les haya informado adecuadamente de conformidad con lo establecido en la normativa sobre protección de datos de carácter personal. SEGUNDO: Consta aportada escrito de 06/11/2019 del reclamante manifestando que los trabajadores del centro de formación profesional les presentaron una reclamación motivada por los siguientes hechos: que a principios del mes de octubre le fue comunicada la implantación de un sistema de control horario basado en la utilización de la huella dactilar sin que les fuese comunicada la información relevante que prescribe el RGPD; que solicitaron a la dirección del centro dicha información relevante como la relativa a identificación del responsable y encargado del tratamiento, del DPD, datos personales puestos a disposición en la elaboración del dicho sistema de control, medidas técnicas y organizativas, etc.; que la respuesta dada por el centro en dos puntos fue genérica señalando que los datos de carácter personal se protegen de acuerdo con la legislación existente. TERCERO: Consta la respuesta dada por el centro educativo, mediante escrito de 18/10/2019, informando que: “1. Os datos de carácter persoal de tódolos traballadores do CIFP Someso están protexidos conforme ao prescrito na lexislación vixente e son utilizados única e exclusivamente para a xestión das actividades internas do centro. 2. Tódolos contratos que o CIFP Someso ten firmados coas empresas ue teñen acceso aos ficheiros que conteñen datos de carácter persoal dos traballadores do centro foron celebrados consonte aos requisitos especificados ao efecto na lexislacion vixente”. CUARTO: El reclamado, en escrito de 09/01/2020, señalaba que el CIFP Someso no había “implantado un sistema de control horario mediante huella dactilar” como sistema único de gestión (como parece dar a entender), sino que el uso de la huella dactilar corresponde a una modalidad de registro alternativa y voluntaria para los trabajadores” y que se habían cumplido las garantías necesarias para la puesta en marcha de dicho sistema de gestión de asistencias y aportaba el modelo de consentimiento exC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/14 preso para el tratamiento de datos biométricos y el documento de información a los trabajadores. QUINTO: El reclamado, en escrito de 15/10/2020, señalaba que: “Como medida inicial, se requirió además a la dirección del CIPF SOMESO el cese inmediato en el uso del sistema de control de acceso y horario mediante huella dactilar, así como el borrado de los datos biométricos que fuesen recabados a tal objeto y de cualquiera traza de los mismos…” y que “A fin de evitar que puedan reiterarse en adelante situaciones similares a la que es objeto de este procedimiento, desde la Consellería se está trabajando en la actualización y ampliación del Protocolo de Protección de Datos en el ámbito educativo con el propósito de conseguir homogeneizar, en lo posible, los requisitos y medidas a adoptar en materia de protección de datos, en las contrataciones llevadas a cabo directamente por los centros docentes…” FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del RGPD y en los art. 47 y 48.1 de LOPDGDD. II La legitimación para el tratamiento de la huella dactilar para el control de los trabajadores por parte del empleador debemos buscarlo en el artículo 9 y 6 del RGPD. El artículo 9 del RGPD establece en sus apartados 1 y 2.
3. b)lo siguiente: “1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o las orientaciones sexuales de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes: (…)
4. b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/14 El artículo 6.1.
5. b)del RGPD indica: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: (…)
6. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales.” El reclamado tiene legitimación, fundamentada en la normativa señalada, para efectuar el control laboral de sus trabajadores y siempre que cumpla los requisitos indicados en el Fundamento de Derecho quinto. III Los hechos que motivan la reclamación presentada y que son objeto del procedimiento se concretan en la disconformidad con la implantación de un sistema de control de acceso y horario mediante huella dactilar sin que se les haya informado a los trabajadores de conformidad con lo establecido en la normativa sobre protección de datos de carácter personal. Estos hechos suponen la vulneración de lo señalado en el artículo 13 del RGPD, al no informar debidamente del tratamiento previsto en relación con el control de fichaje por huella dactilar, de conformidad con lo pronunciamientos establecidos en el citado artículo. Este artículo determina la información que debe facilitarse al interesado en el momento de la recogida de sus datos, estableciendo lo siguiente: “Artículo 13. Información que deberá facilitarse cuando los datos personales se obtengan del interesado. 1. Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
7. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
8. b)los datos de contacto del delegado de protección de datos, en su caso;
9. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
10. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
11. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
12. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una deciC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/14 sión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
13. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
14. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
15. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
16. d)el derecho a presentar una reclamación ante una autoridad de control;
17. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
18. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. IV En el presente caso, el reclamante manifiesta que a principios del mes de octubre les fue comunicado la utilización de un sistema de control de horario mediante huella dactilar sin que se les hubiera informado debidamente de conformidad con la normativa en materia de protección de datos de carácter personal. Aporta igualmente el escrito remitido a la dirección del centro de formación manifestando su disconformidad y solicitando información al respecto. Asimismo, consta la respuesta formulada al reclamante en la que se indica en dos puntos, tal y como figura en los hechos probados, que los datos de carácter persoC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/14 nal de todos los trabajadores están protegidos conforme a la legislación vigente y que las empresas que tienen acceso a los ficheros donde figuran los citados datos han sido celebrados con todos los requisitos señalados en la legislación vigente, y de la que se desprende que ni la información transmitida ni el cauce utilizado fuera el más adecuado dada la calidad y especialidad de los datos que estaban en cuestión, pudiendo haber llevado a cabo un mayor esfuerzo en la política de información y comunicación sobre el tratamiento previsto. En primer lugar, habría que señalar que la implantación e integración de un sistema de control horario basado en la huella dactilar por parte del empleador, ha de ser informado a los empleados de manera completa, clara, concisa y, además, la citada información debe ser completada con referencia tanto a las bases legales que den cobertura a dicho tipo de control de acceso, como a la información básica a la que hace referencia en el artículo 13 del RGPD. En el caso examinado, la respuesta ofrecida por el centro de formación al escrito presentado por el reclamante, relacionada con el referido control mediante fichaje con huella dactilar, no puede considerarse como la más adecuada. En segundo lugar, la instalación de un sistema de control basado en la recogida y tratamiento de la huella dactilar de los empleados implica el tratamiento de sus datos personales puesto que dato personal es toda aquella información sobre una persona física identificada o identificable de conformidad con el artículo 4.1 del RGPD. En cuanto a la huella dactilar se trata, además, de datos que deben ser calificados como datos biométricos y de acuerdo con el artículo 4.14 del RGPD tienen esta consideración cuando han sido “obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos”. Esto hace que, de conformidad con el artículo 9.1 del RGPD, en el caso presente, se les aplique el régimen específico previsto para las categorías especiales de datos previsto en el artículo 9 del RGPD. En este sentido, el considerando 51 del RGPD pone de manifiesto el carácter restrictivo con el que se puede admitir el tratamiento de estos datos: “