PS-00145-2019

1/16  Procedimiento Nº: PS/00145/2019 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: D. A.A.A. y Dña. B.B.B. (en lo sucesivo los reclamantes), interpusieron el 20/11/2018 escritos de reclamación ante la Agencia Española de Protección de Datos. Ambas reclamaciones se dirigen contra la CONSEJERIA DE EDUCACIÓN y DEPORTE DE LA JUNTA DE ANDALUCIA (en lo sucesivo el reclamado o CONEDE), y los motivos en que basan las mismas se encuentran relacionados con el procedimiento de control de ausencias del profesorado del IES ***IES.1 de ***LOCALIDAD.1 mediante huella digital, exponiendo, en síntesis: que les ha sido solicitada por el Secretario del centro la recogida de sus huellas digitales para el reconocimiento personal a efectos de la instalación de un nuevo sistema de control de asistencia, dentro de un procedimiento arbitrado por la dirección del mismo, por el que ya han sido recogidas numerosas firmas de compañeros y compañeras y que podría en principio haberse incurrido en vulneración del RGPD; que en claustro celebrado el 14/11/2018, por el Secretario y Director del centro se les informó que a partir del 01/12/2018 se procedería a la implantación del control de ausencias del profesorado a través de la huella digital, como único procedimiento posible a pesar de que se han dirigido escritos tanto al director como a la Delegación Provincial de Málaga manifestando su oposición, no habiéndoseles proporcionado la información adecuada; asimismo, se realizan consideraciones de tipo legal acerca de la medida implantada solicitando información sobre si se ajustan o no a la legislación vigente. Aportan firmas de grupo de trabajadores del IES; escrito solicitando suspensión procedimiento; comunicación del secretario del IES y respuesta de la Inspección de la Consejería de Educación de la Junta de Andalucía. SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de Datos procedió a realizar las siguientes actuaciones: El 10/01/2019, fue trasladada al reclamado la reclamación presentada para su análisis y comunicación a la denunciante de la decisión adoptada al respecto. Igualmente, se le requería para que en el plazo de un mes remitiera a la Agencia determinada información: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/16 - Copia de las comunicaciones, de la decisión adoptada que haya remitido al reclamante a propósito del traslado de esta reclamación, y acreditación de que el reclamante ha recibido la comunicación de esa decisión. - Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. - Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares. - Cualquier otra que considere relevante. En la misma fecha se les comunicaba a los reclamantes la recepción de sus reclamaciones y su traslado a la entidad reclamada. El 06/02/2019 el DPD de la Consejería de Educación y Deporte de la Junta de Andalucía dio traslado de las respuestas ofrecidas a los reclamantes el 30/01/2019, señalando que las reclamaciones habían sido analizadas y habiéndose recabado la información necesaria de la propia dirección del centro docente implicado, comunicándoles la decisión adoptada. Asimismo, se daba traslado a la AEPD de los escritos remitidos a los reclamantes y del escrito dirigido a la dirección del centro, así como, también, la información obtenida sobre las causas que motivan las reclamaciones. Asimismo, se aportaba la abundante información recabada y relacionada con las reclamaciones interpuestas. El 27/02/2019 uno de los reclamantes presentaba escrito de alegaciones a la respuesta dada por el DPD señalando que en el claustro de profesores celebrado el 14/11/2018 se les informó del comunicado del Jefe de Inspección favorable a la implantación del método de fichaje; que se dio de plazo hasta el 30/11/2018 para otorgamiento de huella digital y no teniendo otra alternativa se vieron obligados a entregar la misma para evitar sanciones quedando reflejado el hecho en escritos adjuntos; en el mismo claustro se informó que el DPD del centro seria el Secretario. TERCERO: El 25/03/2019, de conformidad con el artículo 65 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación presentada por el reclamante contra el reclamado. CUARTO: Con fecha 04/11/2019, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador al reclamado por la presunta infracción del artículo 13 del RGPD contemplada en el artículo 83.5.

1. b)del citado Reglamento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/16 QUINTO: Notificado el citado acuerdo de inicio, el reclamado presentó escrito de alegaciones el 18/11/2019 manifestando, en síntesis: que el acuerdo de inicio traía causa de la reclamación del profesorado del centro educativo motivado por control horario mediante huella dactilar; que en dicha reclamación intervino el DPD señalando y trasladando a la dirección del centro la decisión adoptada debiéndose informar al personal de conformidad con el artículo 13 del RGPD; que en el acuerdo de inicio parece identificarse confusamente al sujeto responsable; que con carácter general el responsable del tratamiento de control horario es la dirección General del Profesorado y Gestión de Recursos Humanos si bien dado que el tratamiento que da lugar a la apertura del procedimiento ha sido decidido por la dirección del centro docente es a dicha dirección a quien corresponde la categoría de responsable del tratamiento; que se da traslado de la notificación del acuerdo de inicio a la dirección del centro docente. El Director del IES manifestaba en escrito de fecha 02/12/2019 que le había sido trasladado acuerdo de inicio del procedimiento; que en Claustro de 07/09/2018 se informó que durante el curso se implantaría el sistema de control del profesorado mediante huella digital; en Claustro extraordinario de 10/102018 se informaba a los profesores de la legalidad de la medida; el 05/11/2018 se emite oficio por el Jefe de la Inspección sobre la medida adoptada; en Claustro de 14/11/2018 se informa del sistema de control horario y se aporta certificado de la empresa instaladora explicando el método de funcionamiento del aparato de la huella digital; escrito de la dirección del centro donde se informaba de las medidas anteriores; que el 16/01/2019 se recibió escrito del DPD solicitando información que le fue remitida y el 31/01/2019 escrito de respuesta del DPD señalando que no era necesario el consentimiento de los interesados para la finalidad de establecer dicho control horario si bien se recomendaba que se informara de todos los extremos señalados en el artículo 13 del RGPD. SEXTO: El 03/02/2020 se inició la apertura de un período de práctica de pruebas, acordándose las siguientes: - Dar por reproducidos a efectos probatorios las reclamaciones interpuestas por los reclamantes y su documentación, los documentos obtenidos y generados por los Servicios de Inspección que forman parte de los expedientes. - Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00145/2019 presentadas por el reclamado y la documentación que a ellas acompaña. SEPTIMO: En fecha 10/06/2020 fue dictada Propuesta de Resolución en el sentido de que se sancionara con apercibimiento al reclamado por vulneración del artículo 13 del RGPD, tipificada en el artículo 83.5 del RGPD y de conformidad con lo señalado en el artículo 77.2 de la LOPDGDD. Transcurrido el plazo establecido para ello el reclamado no ha presentado escrito de alegaciones al tiempo de dictar la presente resolución. OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado acreditados los siguientes, HECHOS PROBADOS C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/16 PRIMERO. Los reclamantes interpusieron el 20/11/2018 escritos de reclamación ante la AEPD, dirigidas contra CONEDE, relacionados con el procedimiento de control de ausencias del profesorado del IES ***IES.1 de ***LOCALIDAD.1 mediante huella digital. SEGUNDO. El Director del centro educativo en escrito de 02/12/2019 trasladaba la información requerida por el reclamado con motivo del procedimiento sancionador y comunicaba la forma en que se había desarrollado el procedimiento para la implantación del sistema de acceso y control horario mediante huella dactilar. TERCERO. El DPD del reclamado en escritos de 06/02/2019 aportaba las respuestas ofrecidas a los reclamantes de la decisión adoptada en relación con sus escritos de reclamación interpuestos, así como la información recabada del Director del IES. El DPD señalaba que: “Conviene también significar aquí que el director del IES, conforme al artículo 132 de la Ley Orgánica de Educación, ejerce la jefatura de todo el personal adscrito al centro, y que el artículo 120 del mismo texto legal consagra la autonomía pedagogía, de organización y gestión de los centros docentes, dentro de la cual se pueden enmarcar ese tipo de decisiones que afectan al cumplimiento de horario por parte del profesorado”. Asimismo, indica en el citado escrito que “… en el caso presente los interesados poseían información, si bien, no nos queda claro que se hubiese dado información de todos los extremos enunciados en los apartados 1 y 2 del artículo 13 del RGPD por lo que nos dirigiremos a la dirección del centro para recomendarle que se informe por escrito al profesorado y al personal de administración y servicios afectado de todo y cada uno de los extremos recogido en el precepto citado y para que en lo sucesivo cuando se vayan a tatar daos de carácter personal se proceda es esta forma. Por otra parte, y en los términos establecidos en la normativa vigente, podrá solicitar del responsable de este tratamiento el acceso da sus datos personales, la rectificación o supresión en su caso, la limitación del tratamiento y oposición.” CUARTO. El reclamante 1 en escrito de 27/02/2019 aporta básicamente la documentación que remitió el DPD en su escrito anterior y manifiesta que “Los profesores y profesoras que suscribimos este escrito, no teniendo alternativa alguna, nos vimos obligados para evitar las posibles sanciones, a entregar la huella en contra de nuestra voluntad quedando reflejado este hecho en un documento por escrito con registro de entrada en el centro. Aportamos documento en anexo. Dejar constancia de que la información citada en el acta se proporciona en el claustro de 14 de noviembre por primera vez y se han recogido huellas y se está fichando con la huella digital desde septiembre por buena parte del profesorado. Señalar también que en ese mismo claustro se informó de que se nombraba al Secretario del centro Delegado de Protección de Datos del Instituto”. QUINTO. Se aporta ANEXO XII Diligencia remitida a reclamante 1 por CONEDE en la que se señala que en el ejercicio de sus funciones la dirección del centro educativo recoge la huella dactilar de los profesores como sistema de control de asistencia, recogiéndose como responsable del tratamiento la citada Consejería. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/16 I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Los hechos reclamados evidencian la vulneración por parte del reclamado de lo señalado en el artículo 13 del RGPD, al no informar del tratamiento previsto, adopción del mecanismo para el control de las ausencias mediante huella digital, con todos los requisitos y pronunciamientos establecidos en el citado artículo. En este artículo se determina la información que debe facilitarse al interesado en el momento de la recogida de sus datos, estableciendo lo siguiente: “Artículo 13. Información que deberá facilitarse cuando los datos personales se obtengan del interesado. 1.Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
2. a)la identidad y los datos de contacto del responsable y, en su caso, de su representante;
3. b)los datos de contacto del delegado de protección de datos, en su caso;
4. c)los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento; 4.5.2016 L 119/40 Diario Oficial de la Unión Europea ES
5. d)cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
6. e)los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
7. f)en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado. 2. Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
8. a)el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
9. b)la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/16 la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
10. c)cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
11. d)el derecho a presentar una reclamación ante una autoridad de control;
12. e)si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;
13. f)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado. 3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2. 4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información”. Por otra parte, el artículo 6, Licitud del tratamiento, del RGPD señala que: “1. El tratamiento solo será lícito si se cumple al menos una de las siguientes condiciones: (…)
14. b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de este de medidas precontractuales; (…)” Y el en artículo 9, Tratamiento de categorías especiales de datos personales, se establece que: “1. Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física. 2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes: (…) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/16
15. b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado;” III En el presente caso, de conformidad con lo señalado en el hecho probado primero los reclamantes interpusieron el 20/11/2018 sendos escritos de reclamación ante la AEPD, dirigidas contra el reclamado y relacionados con el procedimiento de control de ausencias del profesorado del ***IES.1 de ***LOCALIDAD.1 mediante huella digital, con el que estaban disconformes y sobre cuya implantación no se les había proporcionado la información adecuada. El Director del centro educativo remitía a solicitud del DPD de CONEDE la documentación conteniendo el desarrollo del procedimiento y las medidas que se habían ido adoptando para llevar a cabo la implantación del sistema de acceso y control horario mediante huella dactilar. El DPD de CONEDE ha aportado las respuestas ofrecidas a los reclamantes acerca de la decisión adoptada, atendiendo al requerimiento de la AEPD, si bien es cierto que en el citado escrito se reconocía que si bien a los interesados se le había trasladado información, no quedaba claro que se les hubiese dado ofrecido acerca de todos los extremos contenidos en el artículo 13 del RGPD por lo que recomendaban a la dirección del centro se informara por escrito al profesorado y al personal de administración y servicios afectado por la medida de conformidad con lo recogido en el precepto citado y que en lo sucesivo cuando se fueran a tratar datos de carácter personal se procediera es esta forma. También señalaba que se había dado traslado de la reclamación a la Dirección General de Profesorado y Gestión de Recursos Humanos que figura como responsable de la actividad de tratamiento “Control de presencia en el interior de las sedes administrativas, centros y servicios educativos dependientes de la Consejería de Educación para la gestión del cumplimiento de jornadas y horario” y que la Secretaria General Técnica de la Consejería ya se había pronunciado sobre esta materia sosteniendo que el control de presencia era un elemento importante del principio de transparencia que debía a presidir la actuación púbica y una garantía de igualdad que debía existir entre los empleados públicos. En primer lugar, hay que hacer referencia a la cuestión planteada por el DPD del reclamado en su escrito de 18/11/2019 en relación con el responsable del tratamiento, puesto que además de lo señalado en el párrafo anterior, en el citado escrito manifestaba que: ”…ahora bien , dado que el tratamiento que da lugar a la apertura del procedimiento sancionador frente a la Consejería ha sido de decidido en cuanto a sus fines y medio por la dirección del centro docente …es a dicha dirección a quien corresponde la categoría de responsable del tratamiento, lo que viene fundamentado C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/16 tal como se indicó en el informe de la Dirección General de Profesorado y Recursos Humanos emitido con ocasión de la reclamación que origina este acuerdo de inicio. Por tanto, al ser la dirección del Instituto de Educación Secundaria “***IES.1” de ***LOCALIDAD.1 el responsable del tratamiento que ha dado lugar al acuerdo de inicio del procedimiento sancionador PS/0145/2019, y como tal posible sujeto responsable, conforme al citado artículo 70 de la Ley Orgánica 3/2018, de 5 de diciembre , es a dicho órgano al que procedería notificar la resolución a efectos de que pudiese formular las alegaciones que estimase oportunas en el plazo indicado en el apartado 4 del acuerdo”. No obstante, entre la documentación aportada consta ANEXO XII Diligencia remitida a reclamante 1 por CONEDE el 04/03/2019, se señala que la dirección del centro educativo recoge la huella dactilar de los profesores como sistema de control de asistencia, figurando como responsable del tratamiento la citada CONEDE y se plantea la siguiente pregunta: ¿Quién es el responsable del tratamiento de sus datos? Identidad: Consejería de Educación y Deporte Dirección Postal: Edif. Torretriana. Av. Juan Antonio de Vizarrón, s/n C.P.:41071 Sevilla Delegado de Protección de Datos: C.C.C. Contacto DPD: ***EMAIL.1 Además, en la Guía de Protección de Datos de Carácter Personal para los Centros de Enseñanza publicada por CONEDE, aunque bien es cierto que en relación con la normativa anterior al RGPD, en su Capítulo VI, Preguntas frecuentes sobre la aplicación de la normativa de Protección de Datos de Carácter Personal en los Centros de Enseñanza, en relación con la inscripción de ficheros y el responsable de notificar los mismos al Registro General de Protección de Datos en el caso de los centros de enseñanza pública considera que “ En el caso de los centros de enseñanza pública, se plantea la duda de si ha de ser el propio centro de enseñanza o la Consejería de la cual depende quien deba proceder a la adopción de la disposición de carácter general señalada en el art. 20 LOPD y la posterior publicación de la misma en el Boletín Oficial del Estado o Diario oficial correspondiente, así como a la consiguiente notificación de sus ficheros a fin de lograr su inscripción en el Registro General de Protección de Datos. Dicha cuestión ha sido resuelta por la Agencia Española de Protección de Datos en su Informe Jurídico 143/2004, indicando lo siguiente: “… la obligación de notificación corresponderá al responsable del fichero, definido por el artículo 3
16. d)de la Ley Orgánica 15/1999 como “Persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que decida sobre la finalidad, contenido y uso del tratamiento”. Para determinar a quién corresponde la obligación de proceder a la adopción de la correspondiente disposición de carácter general y la consiguiente notificación del tratamiento al Registro General del Protección de Datos resulta imprescindible delimitar si el consultante es un órgano incardinado en la Administración Autonómica o si el mismo posee personalidad jurídica independiente de la misma. En el primer supuesto, el Centro no sería sino un mero usuario del fichero, cuyo responsable sería la Administración educativa autonómica, de forma que la obligación de notificación correspondería a la Consejería de Educación, debiendo hacerse referencia al Centro educativo únicamente como lugar de ubicación del fichero. En C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/16 caso contrario, el responsable del fichero sería el propio Centro, correspondiendo al mismo la notificación del tratamiento al Registro de esta Agencia.” En este sentido, la Consejería de Educación de la Junta de Andalucía ha creado la ORDEN de 20 de julio de 2006, por la que se regulan los ficheros automatizados con datos de carácter personal gestionados por la Consejería de Educación en el ámbito de los sistemas Séneca y Pasen, publicada en el BOJA núm. 156, de fecha 11 de agosto de 2006”. En relación con las demás cuestiones planteadas en el caso presente, habría que considerar que la implantación e integración de sistema de control horario basado en la huella dactilar por parte del empleador, ha de ser informado a los empleados de manera completa, clara, concisa y, además, la citada información debe ser completada con referencia tanto a las bases legales que den cobertura a dicho tipo de control de acceso, así como la información básica a la que hace referencia el artículo 13 del RGPD. En el caso examinado, la instalación de un sistema de control basado en la recogida y tratamiento de la huella dactilar de los empleados, implica el tratamiento de sus datos personales puesto que dato personal es toda aquella información sobre una persona física identificada o identificable de conformidad con el artículo 4.1 del RGPD. En cuanto a la huella dactilar se trata, además, de datos que deben ser calificados como datos biométricos, ya que de acuerdo con el artículo 4.14 del RGPD tienen esta consideración cuando han sido “obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos”. Esto hace que en el caso presente, de conformidad con el artículo 9.1 del RGPD, se les aplique el régimen específico previsto para las categorías especiales de datos previsto en el artículo 9 del RGPD. En este sentido, el considerando 51 del RGPD pone de manifiesto el carácter restrictivo con el que se puede admitir el tratamiento de estos datos: “