← España

PS-00165-2024

1/43  Expediente N.º: EXP202403052 Procedimiento Sancionador Nº: PS/00165/2024 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 4 de febrero de 2024 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra INSTITUTO VALENCIANO DE SERVICIOS SOCIALES (IVASS) con NIF Q4601042G (en adelante, la parte reclamada/ IVASS). Los motivos en que basa la reclamación son los siguientes: El reclamante indica lo siguiente: “En el IVASS se pone la huella para fichar, y hice un papel para quitarme la huella al ser un dato biométrico y prefería firmar en papel y bolígrafo la asistencia, presenté la instancia a responsable de turno y dirección del centro y me lo han denegado vía oral y no hay nada por escrito la contestación”. Junto a la notificación se aporta una fotografía de un formulario denominado “nota de régimen interno” del IVASS, firmado por el reclamante, de fecha 13-12-23 en el que se solicita la supresión de su huella dactilar y el cambio al sistema de fichaje en papel y bolígrafo o cualquier otro medio de control de asistencia que no implique el tratamiento de datos biométricos. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con fecha de 23 de febrero de 2024 se dio traslado de dicha reclamación a la Vicepresidencia y Consellería de Igualdad y Políticas Inclusivas de la Generalitat Valencia, a la que está adscrita el IVASS, de acuerdo con las evidencias obtenidas por la Subdirección General de Inspección de Datos, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 27/02/2024, como consta en el acuse de recibo que obra en el expediente. TERCERO: Con fecha de 4 de marzo de 2024 se recibe en esta Agencia un primer escrito de respuesta de la parte reclamada, el IVASS, en el que se manifiesta, resumidamente, lo siguiente: - En IVASS no existe un sistema de control de la jornada de los trabajadores/as que almacene los datos biométricos, sino un código numérico que se obtiene de la huella tomada al trabajador, que no queda almacenada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/43 - Siguiendo las recomendaciones emitidas por un Informe de la entidad ***EMPRESA.1, en fecha 19 de enero de 2024 sobre el uso de la biometría tras la publicación de la nueva Guía de la Agencia Española de Protección de Datos sobre el tratamiento de control de presencia mediante sistemas biométricos (acompañado como Documento 1), la reclamada contrató con ***EMPRESA.2 (en adelante, ***EMPRESA.2) el funcionamiento de la aplicación de control de fichajes, el cual permite la identificación del personal trabajador de IVASS a través de la toma de huella. - De acuerdo con la nota informativa de la plataforma ***PLATAFORMA.1, que se acompaña como Documento 2, facilitada a los empleados desde la aplicación, se hace constar lo siguiente: “Los terminales de ***EMPRESA.2 no almacenan una imagen de la huella de los empleados, únicamente un número de muchos dígitos que se genera a partir de la huella. Es completamente imposible crear una fotografía o volver a obtener la huella de un empleado a partir de dicho número. A efectos prácticos, esto significa que cada vez que usted pone la huella en el lector, el lector genera un número. El programa compara, luego, si este número corresponde a un empleado o no – de la misma forma que lo haría con una tarjeta-. Tenga en cuenta que ese número no es ninguna información confidencial, ni puede usarse para obtener la huella.” - Por tanto, no se puede atender la petición formulada por el reclamante en fecha 13 de diciembre de 2023, consistente en el borrado de su huella del sistema informático empleado en los fichajes. La reclamada no acompañó los documentos 1 y 2 que mencionaba en su escrito. CUARTO: Con fecha de 21 de marzo de 2024, el IVASS presenta nuevo de ampliación de las alegaciones presentadas el 4 de marzo de 2024. En dicho escrito, el IVASS manifiesta que: - - - - Desde el año 2010 IVASS tiene contratado con ***EMPRESA.2 (ahora denominado ***EMPRESA.3). el funcionamiento de la aplicación de control de fichajes (***PLATAFORMA.1), el cual permite la identificación del personal trabajador de IVASS a través de la toma de huella. Con ocasión de esta reclamación se ha solicitado informe de la Delegación de la Protección de Datos de la Generalitat Valenciana (en adelante DPD de la GVA), que emitió un primer informe de 5 de marzo de 2024, que se acompaña como Documento 3. Tras la remisión de este Informe, se mantuvieron diversas conversaciones telefónicas con la DPD, y se requirieron a ***EMPRESA.2 las prescripciones técnicas del programa ***PLATAFORMA.1. Se acompaña como Documento 4 el documento comercial de oferta y presentación de la mencionada aplicación. Que el 11 de marzo de 2024 se recibió nuevo informe de la DPD de la GVA en el que, tras examinar los mismos documentos 1 a 4 que han sido aportados al presente procedimiento, la DPD señala:” entre otras cuestiones, determina que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/43 - - IVASS ha interpretado erróneamente que el sistema contratado no hace uso de datos biométricos, cuando la plantilla obtenida a partir de una huella digital es en sí un dato biométrico. Esta observación se fundamenta en que el escáner de huellas digitales captura patrones únicos en cada huella, como arcos, bucles y remolinos. Estos patrones se traducen en una serie de números y códigos que forman la plantilla biométrica de huella digital (número)”. Manifiesta que el IVASS inició en diciembre de 2023 la licitación de un nuevo programa de software que incluya un sistema integral de fichaje para control de horario en cuyo pliego de prescripciones técnicas no se incluye tratamiento biométrico. Pone en conocimiento de la Agencia que: “En los próximos meses se prevé la puesta en marcha de un nuevo sistema de control horario que permita la adaptación de la entidad a la reciente guía de la AEPD y a las recomendaciones de la Delegación de Protección de Datos de la Generalitat “ Junto con su escrito, aporta la siguiente documentación: - Aporta los dos documentos 1 y 2 que fueron mencionados en el escrito anterior de 4 marzo de 2023: Informe de ***EMPRESA.1 de interpretación de la Guía de tratamiento biométricos publicada en noviembre de 2023 sobre esta Agencia, y la Nota informativa emitida por la aplicación diseñada por ***EMPRESA.2, que es ***APLICACIÓN.1. - Se acompaña como Documento 3 un Informe de la DPD de la GVA remitido al IVASS el 5 de marzo de 2024 en el que, resumidamente, se indica lo siguiente: - (

  1. i)Se hace constar que a los tratamientos de control del horario laboral mediante sistemas biométricos les resulta de aplicación el régimen jurídico en materia de protección de datos. (
  2. ii)Se pone en conocimiento del IVASS que en enero de 2024 se ha remitido una consulta a esta Agencia Española de Protección de Datos mediante el que se plantean ciertas dudas de aplicación sobre la nueva “Guía sobre tratamientos de control de presencia mediante sistemas biométricos aprobada por esta Agencia en noviembre de 2023”. Manifiesta que la Guía no es de aplicación obligatoria, pero están pendientes de respuesta para poder actuar en consecuencia. (iii) Solicita que por parte del IVASS se remita a la DPD de la GVA cierta documentación antes del 25 de marzo de 2024, obligatoria en el caso de implantar tratamientos biométricos de huella dactilar, entre las que está el previo análisis de riesgo y elaboración de una Evaluación de Impacto sobre la Protección de Datos (en adelante, EIPD), además de comprobar los hechos objeto de reclamación, y revisar si concurre base de licitud. Se acompaña como Documento 4 una oferta con información comercial sobre el programa ***APLICACIÓN.1, plataforma de gestión del tiempo y personas que la reclamada dice haber obtenido de la entidad con la que contrató la misma, el mismo 21 de marzo de 2024. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/43 - Se acompaña como Documento 5 el nuevo informe de la DPD de la GVA de 11 de marzo de 2024 dirigido al IVASS donde acusan recibo de la contestación remitida por el IVASS a esta Agencia, y mantiene: (
  3. i)Que el escrito remitido el 4 de marzo de 2024 por del IVASS no responde a todas las cuestiones que fueron formuladas por la Agencia, estando pendiente la remisión de la documentación que la DPD indicó en su informe de 5 de marzo de 2024. Por tanto, se deberá remitir nuevo escrito a esta AEPD remitiendo una EIPD, y acreditación de base de licitud, por ser esta documentación necesaria para poder tratar el sistema de huella biométrico contratado por el IVASS. (
  4. ii)Una vez analizados los documentos elaborados por ***EMPRESA.1 y ***EMPRESA.2 aportados por el IVASS, la DPD indica que: “Se desprende, por el contenido de dicho informe, que no se han llevado a cabo estas actuaciones anteriores propuestas por ***EMPRESA.1, ni se han implantado las medidas aducidas en dichas recomendaciones. En este sentido parece que el IVASS ha tenido en consideración, únicamente, la información facilitada por la empresa contratada para implantar el sistema de fichaje basado en la toma de la huella, (…)”. (iii) En conclusión, y tras analizar el documento 4 sobre la plataforma ***APLICACIÓN.1 que el IVASS dice haber contratado para el fichaje por huella dactilar, la DPD de la GVA informa al IVASS de lo siguiente, de que únicamente ha presentado una oferta de 2021, y que es necesario que se aporten las prescripciones técnicas actualizadas de ***EMPRESA.2. No obstante, en base a tal oferta presentada como Documento 4, la DPD de la GVA concluye lo siguiente: “3.- La oferta aportada por parte de la empresa adjudicataria no ofrece información ni valoración respecto al uso o no de datos biométricos por parte de su sistema de control de fichajes, por lo que el IVASS sólo dispone de la nota informativa referenciada anteriormente, de la que se ha interpretado erróneamente que el sistema no hace uso de datos biométricos, puesto que los términos en los que se ha realizado la redacción de la misma, están dirigidos a que las personas afectadas así lo consideren. Sin embargo, ya se ha documentado, en el apartado anterior, que no es así, ya que la plantilla obtenida a partir de una huella digital es un dato biométrico. 4.- Por tanto, es recomendación de esta delegación, que el IVASS debería atender nuevamente el requerimiento de la AEPD, teniendo en cuenta, tanto las directrices del primer informe que se les remitió el 5 de marzo por parte de esta delegación, así como el contenido del apartado 2 de este informe y resto de observaciones” QUINTO: Con fecha 27 de marzo de 2024, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/43 SEXTO: Con fecha 4 de junio de 2024, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del artículo 38 del RGPD, artículo 9 del RGPD y artículo 35 del RGPD, tipificadas en el artículo 83.4.
  5. a)del RGPD y artículo 83.5.
  6. a)del RGPD. SÉPTIMO: Con fecha 18 de junio de 2024, la parte reclamada presenta escrito de alegaciones al acuerdo de inicio de procedimiento sancionador distribuido en 7 puntos o argumentos, en el que, en síntesis, el IVASS señala lo siguiente: - Punto Primero. Sobre la naturaleza jurídica del IVASS. Confirma la naturaleza jurídica del IVASS que se hizo constar en el acuerdo de inicio y reconoce su carácter de responsable del tratamiento de los datos personales de sus empleados. - Punto Segundo. Contratación del sistema de fichaje en el año 2010, y por lo tanto, anterior a la Guía sobre tratamiento de control de presencia mediante sistemas biométricos de noviembre de 2023. La adaptación de IVASS a las nuevas indicaciones establecidas por la AEPD no se ha podido realizar de un modo inmediato en una entidad de derecho público que sigue las normas de la contratación pública y que maneja un gran volumen de personal. - Punto Tercero. Licitación del contrato de servicio de control de fichaje. Tal y como se había informado a esta AEPD, “desde el Área de Contrataciones y Asuntos Generales de IVASS se estaba tramitando la licitación del servicio de control de fichaje de la jornada, en cuyo pliego de prescripciones técnicas, se van a tener en consideración las observaciones efectuadas por la Delegación de Protección de Datos de la Generalitat”. No obstante, una vez consultada el Área de Contrataciones y Asuntos Generales de la entidad, se informa de que la licitación del ***REFERENCIA.1, tramitado al amparo del establecimiento del sistema dinámico de adquisición de la central de compras de la Generalitat, ***REFERENCIA.2, para la contratación del suministro en régimen de alquiler de un paquete de software en modo SAAS, que incluya un sistema integral de fichaje para el control horario, planificación de turnos de trabajo y mantenimiento para los centros y servicios de IVASS, se ha declarado desierta por la no concurrencia de empresas. Cabe matizar que en el Pliego de Prescripciones Técnicas de dicho contrato ya se había incluido como prescripción el suministro y puesta en marcha de un número estimado de los terminales de fichaje a través de un sistema no biométrico que cumpla con las normativas de protección de datos aplicables, incluyendo el material adicional necesario, como tarjetas u otros soportes, en su caso, y acceso a portal del empleado/a (se aporta como DOCUMENTO NÚM.1). - Punto Cuarto. Utilización del sistema de fichaje ***APLICACIÓN.2. Desde el día 2 de mayo 2024, los trabajadores de los servicios burocráticos de la entidad utilizan la aplicación ***APLICACIÓN.2, la cual se controla mediante ***APLICACIÓN.3, el autenticador de usuarios corporativo de la GVA. Este sistema permite el uso de diferentes métodos de autenticar al usuario: 1. Acceso mediante Dominio GENERALITAT. 2. Acceso mediante el Correo GVA. 3. Acceso C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/43 mediante el Certificado Digital. 4. Acceso mediante Dominio Justicia. Se adjunta como DOCUMENTO NÚM. 2 el manual de uso de ***APLICACIÓN.2 de la Generalitat Valenciana. Señala el IVASS que se ha valorado la extensión de esta herramienta al conjunto de los trabajadores que se encuentran en los centros sociosanitarios gestionados por IVASS, sin embargo, no ha sido posible por un lado porque gran parte de dichos profesionales prestan servicio en la atención directa en los distintos centros y servicios que se pueden agrupar en red de Residencias para la atención de personas con discapacidad funcional e intelectual; centros de atención diurna, para prestar servicios de acogida, de salud e higiene personal; red de viviendas tuteladas, para la atención de personas con discapacidad funcional e intelectual; centros ocupacionales, para la coordinación de actividades de acogida, educativas, laborales, personales ocupacionales; servicios de tutelas de atención a personas con medidas judiciales de apoyo; servicios administrativos y burocráticos para la gestión de centros y servicios. En ***APLICACIÓN.2, el alta de personal se realiza a través de la guía de departamentos y estructura de personal PROP de GVA, por lo que la rotación de personal y sustitución diaria de unos 1500 profesionales no garantizaría la activación y el alta del personal para el registro diario. Además, este personal no cuenta con un ordenador propio que permita el fichaje a través de ***APLICACIÓN.2 y, por otro lado, esta herramienta no se adapta a las necesidades requeridas por el servicio de prestación de atención directa en nuestros centros, entre otros motivos porque no refleja los distintos turnos rotativos de trabajo, las planificaciones por grupos, las incidencias y cambios de turno, el número de profesionales en el turno, etc. En definitiva, el IVASS afirma que el ***APLICACIÓN.2 es un sistema destinado al fichaje por ordenador para aquellos empleados públicos que trabajen en los servicios administrativos, con los horarios ahí establecidos por la DGTIC, entre otras cuestiones relevantes que se han mencionado con anterioridad, motivo por el cual sí se ha podido implantar (con algunas limitaciones) en las oficinas centrales de esta entidad, pero no puede implantarse en los servicios del IVASS tal y como está configurado, sin la pertinente adaptación a la diferente estructura y horarios del personal del IVASS. - Punto Quinto. En relación con la medida de elaboración y superación de una EIPD, con la participación del DPD, que habilite la utilización de un sistema de fichaje biométrico, la Dirección General de IVASS ha optado por la eliminación del control de fichaje a través de cualquier sistema biométrico de identificación del personal de IVASS. En consecuencia, en principio, no resultaría necesaria la confección de un informe de EIPD. - Punto Sexto. Sobre el cumplimiento de la medida correctiva de participación de la Delegación de Protección de Datos de la Generalitat Valenciana en las cuestiones relativas a la protección de datos suscitadas en IVASS. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/43 Se informa que estamos en comunicación con la DPD de la Generalitat Valenciana para su participación en los temas de protección de datos que puedan surgir en esta entidad. Como prueba de ello, el Acuerdo de Inicio de Procedimiento Sancionador fue trasladado al DPD para su conocimiento y, en su caso, para su asesoramiento a esta entidad. Tras este trámite, se han producido envíos de correos electrónicos y llamadas telefónicas. Por otro lado, la DPD de la Generalitat Valenciana remitió en el mes de abril del presente año una carta a la Administración de la Generalitat y a los entes de su Sector Público Instrumental informando de algunas cuestiones, entre ellas: la función específica de la DPD de actuar como punto de contacto con la autoridad de control (la AEPD); el modo de atender los requerimientos de la AEPD, etc (consta como DOCUMENTO NÚM. 3). - Punto Séptimo. Cumplimiento de la medida provisional acordada por la AEPD acerca de la suspensión provisional del tratamiento. IVASS ha procedido al cambio de sistema del fichaje y suspensión definitiva de todo tratamiento de datos personales a través de un sistema de fichaje por lector que disponen los terminales del aplicativo actual. De este modo, el día 6 de junio de 2024, se remitió nota informativa a toda la plantilla de la entidad para anunciar el cambio del sistema de fichaje. De esta forma, en lugar de utilizar el lector del terminal (el cual se ha inhabilitado), el fichaje se realizaría de forma general, a través de un código de empleado y contraseña introducido en el terminal, hasta la licitación del nuevo aplicativo. OCTAVO: Con fecha 14 de noviembre de 2024 se formuló propuesta de resolución, en la que se desestimaban las alegaciones al acuerdo de inicio, y se proponía lo siguiente: “Que por la Directora de la Agencia Española de Protección de Datos se declare que INSTITUTO VALENCIANO DE SERVICIOS SOCIALES (IVASS), con NIF Q4601042G, ha infringido lo dispuesto en el Artículo 38 del RGPD, Artículo 9 del RGPD y Artículo 35 del RGPD, infracciones administrativas tipificadas en el Artículo 83.4.
  7. a)del RGPD y Artículo 83.5.
  8. a)del RGPD. Que por la Directora de la Agencia Española de Protección de Datos se ordene a INSTITUTO VALENCIANO DE SERVICIOS SOCIALES (IVASS), con NIF Q4601042G, que en virtud del artículo 58.2.
  9. d)del RGPD, en el plazo de 7 meses, acredite haber procedido al cumplimiento de las medidas indicadas en el Fundamento de Derecho XII de esta Propuesta de Resolución; Que se mantenga y se eleve a definitiva la medida provisional de suspensión del tratamiento de datos biométricos que fue acordada en el Acuerdo de Inicio, cuyo cumplimiento deberá acreditarse por el INSTITUTO VALENCIANO DE SERVICIOS SOCIALES (IVASS), con NIF Q4601042G, en los términos a los que se refiere el Fundamento de Derecho XIII de esta Propuesta, y en el plazo de 10 días hábiles desde la notificación de la misma. Dicha medida permanecerá hasta su resolución final, en que deberá ser confirmada, modificada o levantada, sin perjuicio de lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/43 dispuesto en el art. 56.5 de la LPACAP, pudiendo acordarse en la resolución final la limitación definitiva o prohibición de dichas operaciones de tratamiento de acuerdo con lo previsto en los artículos 58 del RGPD y 69 de la LOPDGDD”. NOVENO: con fecha 29 de noviembre de 2024 se recibe escrito de alegaciones a la propuesta de resolución distribuida en cinco puntos, en el que, en síntesis, se manifiesta lo siguiente: - Primero. Sobre la licitación del contrato de servicio de control de fichaje. Por una parte, el IVASS se reitera en los mismos argumentos que fueron indicados en el acuerdo de inicio, señalando que mediante escrito de 21/03/2024 presentado durante la fase previa al inicio del presente expediente sancionador, se informó a esta Agencia de la tramitación de la licitación del servicio de control de fichaje de la jornada, en cuyo pliego de prescripciones técnicas se iban a tener en consideración las observaciones efectuadas por la Delegación de protección de Datos de la Generalitat, en el que se pretendía contratar el suministro y puesta en marcha de un número estimado de los terminales de fichaje a través de un sistema no biométrico que cumpla con las normativas de protección de datos aplicables, incluyendo el material adicional necesario, como tarjetas u otros soportes, en su caso, y acceso a portal del empleado/a. Y, repite también que, posteriormente a presentar dicho escrito de 21/03/2024 el IVASS consultó al Área de Contrataciones y Asuntos Generales de la entidad y se informó de que la licitación del ***REFERENCIA.1, tramitado al amparo del establecimiento del sistema dinámico de adquisición de la central de compras de la Generalitat, ***REFERENCIA.2, para la contratación del suministro en régimen de alquiler de un paquete de software en modo SAAS, que incluya un sistema integral de fichaje para el control horario, planificación de turnos de trabajo y mantenimiento para los centros y servicios de IVASS, se había declarado desierta por la no concurrencia de empresas. Como novedad, el IVASS informa en este escrito de lo siguiente. “Actualmente, se está finalizando la elaboración de un pliego de prescripciones técnicas para la contratación de suministro de un paquete software que incluye un sistema integral de gestión de recursos humanos para los distintos centros y servicios de IVASS. Con ello, se implantará un sistema de fichaje no biométrico sin perjuicio de la solución provisional adoptada y especificada en el epígrafe siguiente”. - Segundo.- Utilización del sistema de fichaje ***APLICACIÓN.2. Se reitera, igualmente, la información que ya fue proporcionada en el Punto Cuarto del escrito de alegaciones al acuerdo de inicio respecto a la aplicación ***APLICACIÓN.2 que se utiliza desde el día 2 de mayo 2024 para el personal trabajador de los servicios burocráticos de la entidad, y los motivos por los que la misma no puede emplearse para el registro de jornada laboral de los centros sociosanitarios gestionados por el IVASS. Se hace constar que, por este motivo, se optado por una solución provisional para el registro de jornada de los trabajadores de la red de recursos sociosanitarios que emplean actualmente un sistema de identificación de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/43 usuario-contraseña a través de la introducción de un código numérico en los terminales de fichaje. Y se insiste en que ésta será sustituida por el nuevo sistema que resulte de la licitación del nuevo pliego de prescripciones técnicas al que se refiere el epígrafe anterior. - Tercero.- Sobre la medida correctiva de elaboración y superación de una Evaluación de Impacto de Protección de Datos (EIPD). Se reitera que, en relación con la medida de elaboración y superación de una EIPD, con la participación del DPD, que habilite la utilización de un sistema de fichaje biométrico, la Dirección General de IVASS ha optado directamente por la sustitución del modelo anterior de control de presencia a través de toma de huella por un sistema de fichaje de código numérico usuario-contraseña en los distintos centros y recursos de la red y por el uso de la aplicación ***APLICACIÓN.2 para el personal destinado en los servicios burocráticos. - Cuarto.- Cumplimiento de la medida correctiva de participación de la Delegación de Protección de Datos de la Generalitat Valenciana en las cuestiones relativas a la protección de datos suscitadas en IVASS. Nuevamente, se vuelve a señalar que el IVASS se halla en comunicación con la DPD de la Generalitat Valenciana para su participación en los temas de protección de datos que puedan surgir en esta entidad, y que la misma remitió en el mes de abril del presente año una carta a la Administración de la Generalitat y a los entes de su Sector Público Instrumental informando de algunas cuestiones, que se aportó junto con las alegaciones del acuerdo de inicio. Como novedades respecto a las alegaciones del acuerdo de inicio, se añade que: (
  10. i)más recientemente, el pasado 18 de noviembre, se puso en conocimiento del DPD de la Generalitat Valenciana la propuesta de resolución del presente procedimiento; y (
  11. ii)y que se ha establecido una figura técnica en IVASS para la comunicación con la DPD de la Generalitat Valenciana en materia de protección de datos. - Quinto.- Cumplimiento de la medida de suspensión acordada por la AEPD en el marco del procedimiento sancionador. Tal y como se señaló en las alegaciones al acuerdo de inicio, el día 6 de junio de 2024 se remitió por correo electrónico una nota informativa a toda la plantilla de la entidad para anunciar el cambio del sistema de fichaje provisional basado en introducir un código numérico del empleado en el terminal, que se adjunta como DOCUMENTO Nº1). En adición a ello, aporta por primera vez al procedimiento el correo electrónico de 06/06/2024 en el que se comunica la sustitución del sistema de fichaje de huella dactilar por un sistema provisional de fichaje manual en el terminal al que se hacía referencia en las alegaciones al acuerdo de inicio. Este consta remitido por B.B.B., del (...), con el asunto “CAMBIO INSTRUCCIONES FICHAJE PERSONAL URGENTE” y los destinatarios General/Todos los empleados (sin restricciones) y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/43 dos documentos adjuntos denominados “NOTA CAMBIO05062024” y “MODELO FICHAJE PAPEL”. FICHAJE TEMINALE DÉCIMO: Con fecha 04/12/2024 tiene entrada escrito de la parte reclamada en el que se adjuntaban los mismos documentos referidos en el punto anterior. De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO: El IVASS reconoce en sus escritos de 4 de marzo de 2024, 21 de marzo de 2024 y 18 de junio de 2024 que en el año 2010 contrató con la entidad ***EMPRESA.2 (ahora denominada ***EMPRESA.3) el denominado ***PLATAFORMA.1 y que lo implantó de forma obligatoria con la finalidad de registro de jornada de sus empleados públicos a través de terminales de detección de huella dactilar de los mismos. En su escrito de 18 de junio de 2024 adjunta el correo electrónico que fue remitido con fecha de 6 de junio de 2024 a toda la plantilla de la entidad para anunciar el cambio del sistema de fichaje. Y señala expresamente que: “De esta forma, en lugar de utilizar el lector del terminal (el cual se ha inhabilitado), el fichaje se realizaría de forma general, a través de un código de empleado y contraseña introducido en el terminal, hasta la licitación del nuevo aplicativo, aportando con sus alegaciones a la Propuesta de Resolución el contenido de este correo electrónico que se acompaña como DOCUMENTO 1, cuyo cuerpo y nota informativa adjunta señalan lo siguiente: En el texto del correo electrónico de 6/6/2024 se señalaba lo siguiente: “Buenas, Siguiendo las indicaciones de Subdirección y al objeto de cumplir con la indicación ejecutiva de la Agencia de protección de datos, SE VA A SUSTITUIR EL SISTEMA DE FICHAE DE HUELLA POR EL LECTOR A FICHAJE POR CODIGO EN EL TERMINAL/FICHAJE MANUAL, de forma urgente (centros con aplicativo actual ***PLATAFORMA.1) Este cambio supone la inhabilitación de los lectores en los terminales y la asignación de un código a cada empleado/a para que pueda fichar con su código y pin. Adjuntamos nota informativa para los empleados/s y tablón, Cada responsable de turno/gestor de ***PLATAFORMA.1, deberá ir revisando LOS ID (CÓDIGO DE CADA EMPLEADO/A Y CONTRASEÑA PARA FACILITARLO AL PERSONAL) asimismo, hay que cambiar en ***PLATAFORMA.1 el modo de fichaje a código y asignar a contraseña en la aplicación para que se pueda fichar (sería el mismo número que el código) ACCEDER A GLOBAL-USUARIOS: AUTORIZACIONES: CONFIGURAR MEDIOS DE IDENTIFICACIÓN (…) Y DESDE AHÍ SE OBTIENE EL CÓDIGO(…) Tendrán que desmarcar la huella (para desactivar este método de fichaje) y marcar la opción de mediante contraseña. En la contraseña habrá que poner el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/43 mismo código que aparece como id: A partir de este momento, el personal podrá fichar. (…) Por lo tanto, hay que desactivar la huella y activar mediante contraseña y poner en el espacio de la contraseña, el código de empleado/a (…). A partir de hoy sería necesario que el personal vaya teniendo su código y contraseña para poder fichar. En todo caso, hay que facilitar hojas de fichaje Manuel, por si hay personal sin código o para los centros sin terminal. A partir de mañana, C.C.C., se encargará de coordinar las inhabilitaciones de lectores de fichaje (taparlos para que no puedan poner el dedo en el lector). De momento y hasta que se licite el nuevo método de registro de presencia, no tenemos más opciones (fichaje código o manual en papel). (…)” Por otra parte, la nota informativa adjunta tiene el siguiente contenido: “CAMBIO SISTEMA DE FICHAJES EN CENTROS IVASS Al objeto de cumplir las indicación ejecutiva de la Agencia de Protección de Datos y cumplimiento de la normativa laboral, a partir del 10 de junio de 2024, se modifica el método de fichaje general. Se va a sustituir el fichaje con el lector en los terminales (se inhabilitará dicha pantalla) por el fichaje a través del código y contraseña asignada. Al objeto de registrar la jornada laboral, sin utilizar el “LECTOR” el personal deberá fichar en los terminales a través del “CODIGO” ID de empleado/a y una contraseña. Para que cada empleado/a acceda al código, deberá acudir a su responsable de centro para que le informe del número y contraseña correspondiente. Con ello, el fichaje se realizará con normalidad a través del terminal (se trata de un código pin propio del empleado/a que es personal e intransferible) (…) Para respetar la privacidad de fichaje con código, se informa que el personal deberá mantener al menos un metro de distancia respecto al compañero que está fichando. El personal que no disponga de código de empleado de ***PLATAFORMA.1, o en los centros en los que no se disponga de terminal, se deberá fichar en papel, a los efectos de registrar la jornada y cumplimento de normativa, hasta que se efectúe nueva aplicación de registro de jornada.” SEGUNDO: De acuerdo con lo señalado por la DPD de la GVA en su Informe de 11 de marzo de 2024 tras analizar la documentación presentada por el IVASS, se determina que ***PLATAFORMA.1 trata datos biométricos, puesto que genera y almacena una plantilla biométrica a partir de la huella dactilar de los empleados y compara la huella del empleado en el momento de registro con la plantilla almacenada al objeto de realizar la correspondiente identificación unívoca del mismo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/43 En su escrito de contestación al traslado de 21 de marzo de 2024, el IVASS considera que su sistema no trata datos biométricos, y que por ello no era necesario cumplir con los requisitos exigibles a este tipo de tratamientos. Y manifiesta expresamente que ha llegado a esta conclusión en base a lo que señala la Nota informativa de ***PLATAFORMA.1 aportada como Documento 2. Dicha nota, dirigida a los usuarios del programa cuya huella se recoge, señala lo siguiente: “Los terminales de ***EMPRESA.2 no almacenan una imagen de la huella de los empleados, únicamente un número de muchos dígitos que se genera a partir de la huella. Es completamente imposible crear una fotografía o volver a obtener la huella de un empleado a partir de dicho número. A efectos prácticos, esto significa que cada vez que usted pone la huella en el lector, el lector genera un número. El programa compara, luego, si este número corresponde a un empleado o no – de la misma forma que lo haría con una tarjeta-. Tenga en cuenta que ese número no es ninguna información confidencial, ni puede usarse para obtener la huella.” TERCERO: Queda acreditado que a la fecha de entrada en vigor del RGPD (25 de mayo de 2018), el IVASS continuaba realizando el tratamiento de datos biométricos (huella dactilar) de sus empleados utilizando el citado ***PLATAFORMA.1 hasta el pasado 10 de junio de 2024 según consta en la nota informativa que se remitió el 6 de junio de 2024 a los empleados según el hecho probado primero, sin haber realizado y superado la correspondiente EIPD a la que se refiere el artículo 35 del RGPD, ni haber acreditado la concurrencia de alguna de las excepciones del artículo 9.2 del RGPD que le habilitase a realizar dicho tratamiento para el control del registro de jornada de su personal, sin la cual dicho tratamiento queda prohibido. Se considera acreditado este hecho toda vez que -además de reconocer la reclamada que no ha considerado necesario cumplir estos requisitos por entender que no estaba tratando datos biométricos hasta que no consultó a su DPD con ocasión del presente procedimiento- no ha aportado dicha EIPD ni acreditación de la concurrencia de una excepción al presente procedimiento ni a su propia DPD, pese a habérsele requerido en varias ocasiones por ambos organismos. CUARTO: Consta en el expediente que la DPD de la Generalitat Valenciana, que es la administración autonómica a la que está adscrita el IVASS, no fue consultada por el IVASS sobre el referido sistema de fichaje de sus empleados estaba empleando desde 2010 para comprobar si el tratamiento que estaba realizando para registrar la jornada laboral de sus empleados mediante detección de huella dactilar se ajustaba a las previsiones del nuevo RGPD. Esto es, no consta la participación de la DPD, ni la previa consulta del IVASS al mismo cuando entró en vigor el nuevo RGPD, ni posteriormente cuando se recibió el informe ***EMPRESA.1 de 19 de enero de 2024. E incluso, tampoco consta que el IVASS consultase a la DPD antes de contestar a la solicitud que le había formulado por el reclamante el 13-12-23, en la que éste solicitó la supresión de su huella dactilar y el cambio al sistema de fichaje en papel y bolígrafo o cualquier otro medio de control de asistencia que no implique el tratamiento de datos biométricos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/43 A la vista de la documentación aportada al procedimiento, se deduce que la DPD de la GVA no fue consultada acerca del sistema biométrico implantado por el IVASS hasta que el mes de febrero de este año 2024 por la reclamada a raíz del requerimiento formulado por esta Agencia con ocasión del presente procedimiento, emitiendo entonces dos informes de 5 y 11 de marzo de 2024 donde examinó el sistema implantado, determinado que es un tratamiento biométrico, que la reclamada había interpretado erróneamente la documentación obtenida del encargado del tratamiento que desarrolló el programa ***PLATAFORMA.1, y que era necesario cumplir con la obligación de realizar y superar una previa EIPD, así como acreditar la concurrencia de base de licitud, excepción, y resto de principios y obligaciones previstas en la normativa de protección de datos. QUINTO: Que el responsable del tratamiento de los datos biométricos realizado a través de la implantación del Programa ***PLATAFORMA.1 para el registro y control de jornada de los empleados al que se refiere el presente procedimiento es el IVASS, ya que éste dispone de personalidad jurídica propia e independiente a la de la Generalitat Valenciana, pese a estar adscrito a la misma orgánicamente, como el mismo reconoce en su escrito de alegaciones al acuerdo de inicio. FUNDAMENTOS DE DERECHO I Competencia y procedimiento De acuerdo con los poderes que el artículo 58.2 del RGPD y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Cuestiones previas sobre el tratamiento de datos biométricos 2.1. Definición y características de los datos biométricos. El RGPD define el art. 4.14 datos biométricos como “datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/43 Todo sistema biométrico de control de registro de jornada laboral, para poder ser usado, ha de registrar antes la identidad del usuario en el sistema por medio de la captura de una serie de parámetros biométricos. Lo que se trata de conseguir es realizar un procesamiento sobre esos parámetros para identificar a la persona cada vez que luego vuelva a entrar y salir por el punto de acceso. Procesamiento para el que se parte de una imagen de la huella, que se convierte en lo que se denomina una plantilla biométrica o vector dactilar, que queda almacenado en el sistema. Los sistemas de procesamiento de datos biométricos se basan en recoger y procesar datos personales relativos a las características físicas, fisiológicas o conductuales de las personas físicas, entre las que cabe incluir las características neuronales de estas, mediante dispositivos o sensores, creando plantillas biométricas (también denominadas firmas o patrones) que posibilitan la identificación, seguimiento o perfilado de dichas personas. Tal y como señala con muy buen criterio el informe de la DPD de la GVA de 11 de marzo de 2024 aportado a este procedimiento, la reclamada parte de un error de interpretación del contenido de la nota informativa de la aplicación utilizada para el fichaje, puesto que el hecho de que los sistemas biométricos se traduzcan a un código numérico no implica que no se estén almacenando ni tratando datos biométricos. El tratamiento de datos que se realiza mediante los sistemas biométricos se explicaba en el Convenio 108+ para la protección de las personas con respecto al tratamiento automatizado de datos de carácter personal aprobado por el Consejo de Europa que desde enero de 1981 venía señalando en su párrafo 60 lo siguiente, tal y como señala la Guía sobre tratamientos de control de presencia mediante sistemas biométricos publicada en noviembre de 2023: “Un dato biométrico contenido en un sistema se almacena en forma de una plantilla o patrón biométrico. Una plantilla biométrica es una forma de escritura de una característica biométrica humana, como un rostro o una huella dactilar, de manera que sea interpretable por una máquina de forma eficiente y eficaz para un propósito o propósitos determinados. La plantilla biométrica no está orientada a ser interpretada por una persona, como una fotografía, sino que está orientada a ser tratada en un proceso automatizado, es decir, ser eficiente y eficazmente interpretable por una máquina. Esta forma de almacenamiento permitiría singularizar a un individuo y ejecutar acciones de forma automática, perfilar o inferir información sobre un sujeto como actitudes o patrones de comportamiento, etc En el caso de operaciones de identificación o autenticación, para que una plantilla biométrica sea eficaz es necesario que las plantillas generadas a partir de dos individuos distintos sean claramente distinguibles. En ese caso, la plantilla actúa como un identificador único de la persona. El hecho de que, a partir de una plantilla biométrica, por ejemplo, de reconocimiento facial, no se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/43 pueda reconstruir el rostro original carece de relevancia, pues es un identificador único que lo singulariza unívocamente, al menos, en el marco de un tratamiento automatizado. De igual forma, a partir de únicamente del número de DNI no se puede reconstruir un nombre o un rostro. A ambos identificadores únicos, plantilla biométrica o número del DNI, se les puede asociar datos personales y atributos adicionales en un fichero. A diferencia de un número de DNI, la plantilla biométrica no es asignada a una persona, sino que se genera directamente de la observación de características físicas únicas e inalterables del propio individuo, sin necesidad de recurrir a documentos, otros dispositivos o bases de datos de terceros.” Pues bien, la decisión de implantar un método de control de jornada laboral de los empleados que implique el tratamiento de datos biométricos, como los basados en la detección de huella dactilar, como es el caso presente (o reconocimiento facial en otros supuestos), no es una decisión baladí. Este tipo de tratamientos se basan en una tecnología que puede ser realmente intrusiva y requiere de un debate ético y jurídico sosegado antes de decidir su implantación, toda vez que recoger la huella dactilar del personal puede tener efectos muy adversos en los valores fundamentales y la integridad humana de estos empleados que no se producen con otros métodos de control de asistencia. Véanse solo alguna de sus características especiales y piénsese en el impacto significativo que producen cuando se comprometen estos datos biométricos, en comparación a otros métodos (firma y cumplimentación de hojas, o fichaje mediante tarjetas magnéticas): - - Cada individuo tiene impresiones dactilares únicas que muestran características específicas que pueden medirse para decidir si una impresión dactilar corresponde con una muestra registrada. Por lo tanto, son únicos, permanentes o definitivos en el tiempo y la persona no puede liberarse de ellos, no se pueden cambiar nunca, ni con la edad, por lo que el daño creado en caso de compromiso-pérdida o intrusión en el sistema es irreparable en este caso. A diferencia de una contraseña, en caso de pérdida, los datos de nuestra huella dactilar o cara no se pueden cambiar. Además, debido a que los datos biométricos son propios de una persona y perpetuos, el usuario puede utilizar los mismos datos en diferentes sistemas, lo que supone un riesgo extra. Mientras que los métodos tradicionales de autenticación como las contraseñas requieren una coincidencia del 100% de carácter por carácter para permitir que el usuario acceda por ejemplo a una cuenta o aplicación (métodos deterministas), los métodos de biometría se denominan “probabilísticos”, porque se basan en la probabilidad de que el usuario que intenta acceder a un determinado dispositivo o aplicación sea la misma persona que el usuario registrado. Podemos medir el rendimiento de un sistema biométrico a partir de tres características principales. Estas son: tasa de falsos rechazos (FRR), tasa de falsas aceptaciones (FAR) y tasa de errores iguales (ERR). La tasa de falsos rechazos representa la probabilidad de errores de detección por parte de un sistema biométrico, lo que significa que no puede reconocer a un usuario cuyas características biométricas ya están en la base de datos. En caso de rechazo, la persona debe verificar su identidad de nuevo. Desde una perspectiva de seguridad y protección, esta tasa no significa que sea necesariamente un resultado negativo. Cada método biométrico, ya sea lectura de cara, de huella dactilar, huella palmar, iris, etc., tiene diferentes valores para diferentes tasas en función de las cuales un sistema rechaza o acepta las entradas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/43 2.2. Las plantillas biométricas como datos personales de categoría especial y alto riesgo. De acuerdo con la definición dada por el artículo 4.14 del RGPD, los datos biométricos tratados por estos sistemas se consideran en datos de carácter personal siempre y cuando la finalidad del tratamiento sea la identificación o autenticación de una persona, en el sentido previsto en el artículo 4.1 del RGPD, que define a los datos personales como: “1. Datos personales: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. Hay que tener en cuenta que la aprobación del RGPD ha supuesto un cambio de paradigma en materia de protección de datos personales que pretende garantizar aún más a los ciudadanos el control de sus datos personales, estableciendo unos estándares de protección elevados y adaptados al entorno digital en que vivimos. De acuerdo con el Principio de Responsabilidad Proactiva, inspirador de la nueva regulación, el nuevo RGPD hace hincapié en que el responsable debe evaluar seriamente los riesgos del tratamiento que quiera establecer en los derechos y libertades de los interesados (siempre previamente a iniciar cualquier tratamiento, y de forma continua si decide hacerlo), optando por un enfoque de análisis de riesgos desde el diseño y por defecto, para poder identificarlos, determinar la probabilidad de materialización y su impacto y prever medidas y garantías que eliminen o, cuando menos, mitiguen los riesgos detectados, evitando su materialización. Así mismo, se deben cumplir determinadas obligaciones y respetar ciertos principios establecidos por la normativa. Así pues, siempre que se traten datos de carácter personal, de cualquier tipo que sean, el responsable deberá cumplir con los principios y obligaciones previstos en la normativa de protección de datos para todo tipo de datos personales. Pero cuando los datos personales a tratar sean biométricos (huellas, reconocimiento facial...etc), se debe considerar además que -a diferencia de lo que sucedía bajo el régimen anterior al RGPD- este tipo de datos están considerados como datos personales de categoría especial en el artículo 9, cuyo tratamiento está prohibido, salvo que concurra alguna de las excepciones previstas en el artículo 9.2 del RGPD. Lo que no exime de que siempre deba existir además una base de licitud prevista en el artículo 6 del mismo, entre otros muchos requisitos y principios que deberá cumplir aquel que decida optar por este tipo de tratamientos. De acuerdo con el artículo 9.1 del RGPD, queda prohibido el tratamiento de datos biométricos cuando sean: “datos biométricos dirigidos a identificar de manera unívoca a una persona física”. Si bien el considerando 51 del RGPD incluye tanto procedimientos de identificación como de autenticación: “pues únicamente se encuentran comprendidas en la definición de datos biométricos cuando el hecho de ser tratadas con medios técnicos específicos permita la identificación o la autenticación unívocas de una persona física. Tales datos personales no deben ser C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/43 tratados, a menos que se permita su tratamiento en situaciones específicas contempladas en el presente Reglamento”. En este sentido, hay que resaltar que la calificación como datos de categoría especial implica, necesariamente, la observancia de una especial cautela a la hora de determinar si es posible llevar a cabo un tratamiento de datos de esta naturaleza. Entre otras cosas, y además de existir una excepción que permita salvar la prohibición del artículo 9.1 del RGPD, de que exista una base de licitud del artículo 6 del RGPD y de que se cumplan los principios del RGPD, el sujeto que pretenda implantar sistemas de datos biométricos, (en este caso, el IVASS) debería haber analizado previamente la concurrencia de los preceptivos criterios de necesidad, idoneidad y proporcionalidad del tratamiento. Esto es, quien pretenda instaurar un tratamiento de datos personales de esta naturaleza debe, antes que nada, asegurarse de que se supere lo que se ha denominado en la jurisprudencia como “el triple juicio de proporcionalidad”, planteándose en especial si el tratamiento de datos biométricos es idóneo, proporcionalidad, y sobre todo, necesario. Si existen otros sistemas no biométricos que permitan conseguir la misma finalidad de identificar-verificar la identidad de las personas con eficacia, no será necesario iniciar tratamientos biométricos, y, por tanto, implantar este sistema se considerará contrario al RGPD. Este juicio debe ser el punto de partida de su análisis, pues sólo en caso de que estos métodos superen el citado triple juicio, se exigirá el cumplimiento de otros requisitos o garantías. Pero además de ser datos de categoría especial, el tratamiento de datos biométricos se considera de alto riesgo a tenor de lo previsto en el apartado 4 del artículo 35, que dispone que “La autoridad de control establecerá y publicará una lista de los tipos de operaciones de tratamiento que requieran una evaluación de impacto relativa a la protección de datos de conformidad con el apartado 1”, dado que consta entre los tratamientos incluidos en la Lista de tipos de tratamiento de datos que requieren evaluación de impacto relativa a la protección de datos, hecho público por la AEPD en desarrollo de la previsión contemplada en el apartado cuarto del referido artículo 35. No hay duda del carácter de alto riesgo de estos datos, habida cuenta de que los datos biométricos cumplen con los criterios correspondientes a los números 4, 5 y 10 de dicho documento (aquellos que impliquen el uso de categorías especiales de datos; el uso de datos biométricos y los que impliquen la utilización de nuevas tecnologías o un uso innovador de tecnologías consolidadas). Por tanto, el tratamiento de datos biométricos nunca podrá iniciarse de no haber elaborado y superado una EIPD válida y previa al tratamiento. Por tanto, desde la entrada en vigor del RGPD, cuando un tratamiento es de “alto riesgo”, como sucede con los métodos de control de jornada laboral basados en métodos de fichaje biométricos, es obligatorio realizar siempre una evaluación de impacto (EIPD), de acuerdo con lo previsto en el artículo 35.1 del RGPD, debiendo esta EIPD ser previa al inicio del tratamiento, pero realizarse a su vez de forma continua. Y no bastará con realizarla, sino que la misma deberá considerarse válida, porque cumpla con los requisitos previstos en el citado artículo, en especial, que contenga como mínimo la información del art. 35.7 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/43 2.3. El IVASS como responsable de operaciones de tratamiento de datos biométricos de los empleados públicos que utilizan el sistema de fichaje de jornada por huella dactilar. El artículo 4.2 del RGPD define el “tratamiento de datos personales” como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjunto de datos personales ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.” Si el tratamiento consiste en el registro diario de la jornada laboral mediante huella dactilar, ello requerirá realizar necesariamente un conjunto variado de operaciones por el responsable que requieren el tratamiento de datos personales biométricos según el artículo 4.2 del RGPD. Entre las que cabe incluir: la recogida o captura de la huella del empleado, su procesamiento para convertirla en un vector o plantilla biométrica, su registro, almacenamiento, la identificación-autenticación de este en el proceso de fichaje, el registro de tiempo y otros posibles datos, su procesamiento para determinar los excesos o faltas horarias, su conservación, supresión, limitación…etc). Todas ellas serán operaciones de tratamiento de datos personales biométricos (plantilla biométrica) de categoría especial y alto riesgo. En el presente supuesto, la entidad reclamada ha presentado varios escritos, en los que cambia la argumentación realizada respecto a la naturaleza de los datos personales tratados mediante el sistema de detección de huella dactilar implantado en el IVASS: Si bien en un primer escrito de 4 de marzo de 2024 la reclamada mantuvo inicialmente que: “En IVASS no existe un sistema de control de la jornada de los trabajadores/as que almacene los datos biométricos, sino un código numérico que se obtiene de la huella tomada al trabajador, que no queda almacenada”, señalando que su sistema cumple con las recomendaciones del informe de la entidad ***EMPRESA.1 de 19-124, sobre interpretación de la Guía publicada por esta Agencia en noviembre de 2023, contratando con ***EMPRESA.2 un programa denominado “***PLATAFORMA.1”. Y considera que el fichaje a través de huella dactilar que se realiza mediante el mismo no implica un tratamiento de datos personales biométricos, puesto que, de acuerdo con la nota informativa que aparece en el citado programa, el programa no almacena la huella dactilar, sino un código numérico. No obstante, en su segundo escrito de 21 de marzo de 2024, y tras las recomendaciones realizadas por la DPD de la GVA en sus Informes de 5 de marzo y 11 de marzo de 2024, la reclamada cambia su argumentación, y reconoce que el programa ***PLATAFORMA.1 utilizado para el fichaje de la jornada laboral mediante huella dactilar por los empleados del IVASS sí supone el tratamiento de datos biométricos, puesto que almacena y utiliza una plantilla biométrica para realizar la identificación unívoca de los empleados, manifestando su intención de sustituir este sistema por otro que no utilice métodos biométricos. En su escrito de alegaciones al acuerdo de inicio, alega que ha suprimido este sistema, y ha buscado alternativas de fichaje de la jornada laboral que no impliquen el tratamiento de datos biométricos, informando a esta Agencia del resultado de los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/43 intentos fallidos de cambio del sistema actual por otro que respete las prescripciones de la normativa de protección de datos personales. De la documentación aportada se desprende que, como señala la DPD de la GVA en los dos informes aportados a este procedimiento, no cabe duda de que el programa implantado por el IVASS trata datos biométricos de carácter personal, puesto que la finalidad del sistema implantado es determinar la identidad, del empleado que accede o sale del centro de trabajo y comprobar la hora y fecha del comienzo y fin de su jornada laboral. Toda vez que el proceso asigna un identificador (la plantilla biométrica obtenida al recoger las muestras de huella dactilar de los interesados) que permite singularizar a un individuo y, distinguirlo frente a otros, a través de “elementos propios de la identidad física, fisiológica, genética, psíquica”. Por tanto, ello implica que la entidad reclamada ha estado tratando datos biométricos desde el año 2010, continuando el tratamiento tras la entrada vigor del RGPD hasta el 10 de junio de 2024 -habiéndose acreditado en las alegaciones a la propuesta que el IVASS procedió a sustituir el mismo por otro sistema provisional de fichaje que no empleaba métodos biométricos en dicha fecha- por lo que ésta sería la responsable de cumplir con las obligaciones previstas por la normativa de protección de datos para tratar datos biométricos de carácter personal, de acuerdo con lo previsto en el artículo 4.7 del RGPD, que define al responsable del tratamiento como: “(…)La persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. Ello implica que la entidad reclamada es la presunta responsable frente a la que debe dirigirse el presente procedimiento sancionador en caso de cometer alguno de los incumplimientos tipificados como infracción en el RGPD, de acuerdo con lo previsto en el artículo 70. 1
  12. a)de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos personales y garantía de derechos digitales (en adelante, LOPPDD): “Artículo 70. Sujetos responsables. 1. Están sujetos al régimen sancionador establecido en el Reglamento (UE) 2016/679 y en la presente ley orgánica:
  13. a)Los responsables de los tratamientos.
  14. b)Los encargados de los tratamientos.
  15. c)Los representantes de los responsables o encargados de los tratamientos no establecidos en el territorio de la Unión Europea.
  16. d)Las entidades de certificación.
  17. e)Las entidades acreditadas de supervisión de los códigos de conducta. (…)”. III Contestación a las alegaciones al acuerdo de inicio El acuerdo de inicio del presente expediente imputó a la entidad reclamada la comisión de 3 presuntas infracciones administrativas de los artículos 35 del RGPD, por no disponer de evaluación de impacto previa y ajustada a los requisitos mínimo de dicho precepto; una infracción del artículo 9 RGPD por no acreditar la concurrencia de una excepción que levante la prohibición del tratamiento de datos biométricos, y una C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/43 infracción del artículo 38 del RGPD, por no haber consultado a su DPD acerca de si el tratamiento de registro y control del cumplimiento de la jornada laboral de su personal que venía realizado a través de un sistema de huella dactilar se ajustaba a las previsiones del nuevo RGPD.. Frente a esta imputación, el IVASS presentó alegaciones con fecha de 18 de junio de 2024 en las que no se pronunciaba expresamente acerca del objeto principal de este procedimiento, pues no hacía referencia alguna a la previa existencia de una EIPD, concurrencia de una excepción del artículo 9, ni consulta previa al DPD a fecha de la entrada en vigor del RGPD (25 de mayo de 2018), fecha en la que dichas obligaciones comenzaron a ser exigibles, requiriéndose la pertinente adaptación del sistema utilizado desde el año 2010 en el caso de que se decidiera seguir tratando datos biométricos tras la entrada en vigor del RGPD. Las alegaciones al acuerdo de inicio realizadas por el IVASS no aportaban ningún argumento ni documento que justificase el cumplimiento de estos requisitos durante el periodo comprendido entre la entrada en vigor del RGPD y la actualidad, sino que se limitaban a señalar: (
  18. i)los motivos por los que todavía no se ha podido adaptar el sistema de registro de jornada de su personal implantado en 2010 a las nuevas previsiones del RGPD; (
  19. ii)y las medidas correctivas adoptadas, informando de que se ha procedido a la supresión del sistema de registro a través de huella dactilar, en cumplimiento de lo previsto en el acuerdo de inicio de este procedimiento, sustituyendo el sistema de fichaje de su personal por uno que requiere introducir un número de usuario y contraseña, lo que, por otra parte no se acredita. Así pues, por una parte, se indicaban los motivos por los no se ha podido realizar la adaptación pertinente a las previsiones del RGPD con anterioridad: - Por una parte, señala el IVASS que la instalación del aplicativo contratado con ***EMPRESA.2 se implantó en el año 2010, antes de la entrada en vigor del RGPD, y que su adaptación al mismo no se ha podido realizar hasta el momento porque se había previsto la licitación de un nuevo sistema que no utiliza datos biométricos, pero que se ha solicitado información al área de contratación del IVASS y ésta le ha señalado que tal licitación ha quedado desierta. Se acompaña como Documento 1 el Pliego de Prescripciones Técnicas, tramitada con el número ***REFERENCIA.1, al amparo del establecimiento del sistema dinámico de adquisición de la central de compras de la Generalitat, ***REFERENCIA.2, para la contratación del suministro en régimen de alquiler de un paquete de software en modo SAAS, que incluya un sistema integral de fichaje para el control horario, planificación de turnos de trabajo y mantenimiento para los centros y servicios de IVASS, se ha declarado desierta por la no concurrencia de empresas. - Además, la complejidad del personal y organización del IVASS no permite utilizar el sistema actual ***APLICACIÓN.2 utilizado por la Generalitat Valenciana para el personal sociosanitario, ya que no se adapta a las funciones, turnos, estructura orgánica y características de los diversos servicios gestionados por el IVASS. Pero éste ha sido implantado para el personal burocrático o administrativo del IVASS. Ambos motivos deben descartarse como causa de exención de las infracciones cometidas, puesto que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/43 - Por una parte, se observa que es cierto que el objeto de la licitación era desarrollar un sistema de registro de presencia de los empleados que no se basara en datos biométricos, pero según el IVASS la licitación se inició en diciembre del año 2023, más de 5 años después de que el RGPD entrase en vigor. - Y algo similar sucede con la adaptación del sistema ***APLICACIÓN.2 de la GVA, puesto que el propio IVASS, como responsable proactivo del cumplimiento de las normas del RGPD debió ser precisamente consciente de la concurrencia de la complejidad de la estructura orgánica, funciones y características del personal que integra sus servicios, y valorar antes de la entrada en vigor del RGPD si era posible la extensión de esta herramienta de la GVA al personal de sus servicios. Aun reconociendo la complejidad a la que se refiere la reclamada, se entiende que ésta tuvo tiempo suficiente para realizar las valoraciones y análisis pertinentes y realizar las adaptaciones que fueran necesarias en su sistema anterior, o decidir sobre la licitación un nuevo sistema de fichaje y control de jornada que se adaptase a sus necesidades específicas, con anterioridad a la entrada en vigor del RGPD. Y en este sentido, hay que recordar que el RGPD fue aprobado el 27 de abril de 2016, por lo que el IVASS debió ser consciente de que nuevas obligaciones iban a ser exigibles a partir de 25 de mayo de 2018, momento a partir del cual iba a resultar de plena aplicación, por lo que tuvo un plazo de más de dos años para informarse y asegurarse de que el sistema de huella dactilar que estaba utilizando cumplía los requisitos del nuevo RGPD. Y en caso de que su decisión fuera la de sustituir el mismo por otro sistema de registro de jornada que no utilizase datos biométricos, habría dispuesto también de más de dos años para licitar un sistema de registro de jornada laboral adecuado al nuevo RGPD, o adaptar, en su caso, el citado ***APLICACIÓN.2 a las particularidades de la estructura y funciones del IVASS. Por otra parte, el IVASS se refiere a la supresión del sistema de huella dactilar, señalando que: “IVASS ha procedido al cambio de sistema del fichaje y suspensión definitiva de todo tratamiento de datos personales a través de un sistema de fichaje por lector que disponen los terminales del aplicativo actual. De este modo, el día 6 de junio, se remitió nota informativa a toda la plantilla de la entidad para anunciar el cambio del sistema de fichaje. De esta forma, en lugar de utilizar el lector del terminal (el cual se ha inhabilitado), el fichaje se realizaría de forma general, a través de un código de empleado y contraseña introducido en el terminal, hasta la licitación del nuevo aplicativo”. Pero no se aportó junto con sus alegaciones -ni en ningún otro momento anterior a dictarse la propuesta de resolución- dicha nota informativa del 6 de junio ni ninguna otra prueba que acreditase la inhabilitación definitiva del sistema de fichaje mediante huella dactilar. Por este motivo, la propuesta de resolución hizo constar que el IVASS realizaba afirmaciones pero que no había acreditado esta inhabilitación del sistema de fichaje por huella dactilar se había producido, cuando se había sustituido el sistema y porqué método de fichaje, y señaló también que la acreditación posterior de estos medios no implicaría la exención de responsabilidad: “Cabe señalar, que en el caso de que la reclamada aportase dicha acreditación durante el presente procedimiento, ello únicamente implicaría que la reclamada C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/43 ha cumplido con la medida provisional adoptada en el acuerdo de inicio, por lo que no cabe derivar procedimiento alguno respecto al posible incumplimiento de la misma. Pero en ningún caso implicaría la exención de responsabilidad de las infracciones que fueron ya cometidas, puesto que se consumaron al continuar tratando datos biométricos sin cumplir los referidos requisitos exigidos por el nuevo RGPD durante el periodo en el que el sistema siguió en funcionamiento desde que entró en vigor el RGPD hasta que fue suprimido”. Cabe, por tanto, confirmar las conclusiones a las que llegó la Propuesta de Resolución, desestimando las alegaciones al acuerdo de inicio, en base a lo siguiente: “Dichos argumentos -de ser acreditados- podrían confirmar, en su caso, que la entidad reclamada ha cumplido con las medidas correctivas que fueron señaladas en el acuerdo de inicio y/o la medida provisional que fue adoptada en dicho acuerdo, pero en ningún caso cabe estimar las mismas como motivo de exención de la comisión de las infracciones que se imputan en el presente procedimiento, toda vez que la supresión de este sistema y su sustitución por otro que no implica el tratamiento de datos biométricos se ha realizado con posterioridad al acuerdo de inicio, lo que significa que las infracciones fueron consumadas y estuvieron vigentes de forma continuada desde el día en que entró en vigor el nuevo RGPDen el que las nuevas obligaciones de los artículos 35, 38 y 9 del mismo empezaron a ser exigibles- hasta un momento posterior a la recepción del acuerdo de inicio de este procedimiento, que no se concreta, ni acredita, limitándose la reclamada a mencionar que el 6 de junio de 2024 ha informado a su personal de que el anterior sistema de fichaje está inhabilitado. Lo que implica que las infracciones imputadas en el presente procedimiento se consumaron el 25 de mayo de 2018 y persistieron en el tiempo durante más de 6 años” IV Contestación a las alegaciones a la propuesta de resolución Como ha quedado reflejado en los antecedentes de la presente resolución, en sus alegaciones a la propuesta de resolución, la parte reclamada reitera las alegaciones ya vertidas al acuerdo de inicio del procedimiento sancionador; en especial en relación a su iniciativa de modificación del sistema de control de jornada, pese a lo cual la licitación abierta fue declarada desierta, y a las modificaciones en cuanto al sistema de fichaje, pasando a ser éste el de usuario y contraseña. En estas nuevas alegaciones, y a diferencia de lo ocurrido con ocasión del acuerdo de inicio: - El IVASS aporta como Documento 1 la acreditación de haber procedido a la sustitución provisional del sistema de control de jornada mediante huella dactilar, aportando tanto la comunicación dirigida a su personal con instrucciones sobre el modo de fichaje como la nota informativa de junio de 2024 relativa a la inhabilitación del sistema de fichaje mediante huella dactilar objeto del presente procedimiento sancionador. De su tenor literal -hecho probado primero-se desprende que es cierto que el IVASS inhabilitó el sistema de ficha de huella y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/43 comunicó a sus empleados el 6 de junio de 2024 que a partir del 10 de junio de 2024 se comenzaría a utilizar lo que denomina como “sistema provisional de fichaje” en sus alegaciones, mediante el que los empleados registrarían su jornada manualmente, introduciendo un código en los terminales de sus centros de trabajo. - Se informa de que -una vez declarada desierta la licitación anterior- está prevista una nueva licitación para implantar un sistema de fichaje de jornada definitivo que tampoco emplea sistemas biométricos, insistiendo en que el implantado el 10 de junio de 2024 es temporal, y señalando que está elaborando un nuevo pliego de prescripciones técnicas. Se señala que el pliego de prescripciones técnicas que fue aportado en las alegaciones de acuerdo de inicio, se refería a la licitación anterior que fue declarado desierta. Pero no se aporta el nuevo pliego ni se dan detalles acerca de la nueva licitación, por lo que esta Agencia desconoce en qué consiste el referido sistema. - En relación a la medida correctiva relativa al DPD, se aporta información nueva -que no se acredita-referida a: (
  20. i)que el pasado 18 de noviembre, se puso en conocimiento del DPD de la Generalitat Valenciana la propuesta de resolución del presente procedimiento; y (
  21. ii)y que se ha establecido una figura técnica en IVASS para la comunicación con la DPD de la Generalitat Valenciana en materia de protección de datos. - Y se pronuncia sobre la medida correctiva de elaboración y superación de una EIPD indicando que la Dirección General de IVASS ha optado directamente por la sustitución del modelo anterior de control de presencia a través de toma de huella por un sistema de fichaje de código numérico usuario-contraseña en los distintos centros y recursos de la red y por el uso de la aplicación ***APLICACIÓN.2 para el personal destinado en los servicios burocráticos. Al respecto, y estando pendiente según el IVASS la licitación de un nuevo sistema de fichaje cuyo pliego se está elaborando, se desconoce por esta Agencia si el tratamiento diseñado precisará de elaboración y superación de la EIPD por incluir datos biométricos de categoría especial o ser de alto riesgo. A la vista de lo expuesto, cabe desestimar la solicitud de no imposición de sanción alguna realizada por el IVASS, toda vez que las alegaciones a la propuesta de resolución: - Se limitan a alegar que ha cumplido con de las medidas correctivas que habían sido mencionadas en el acuerdo de inicio y propuesta de resolución, sin alegar ni aportar prueba al respecto de no haber cometido las infracciones que se imputan en este procedimiento entre la entrada en vigor del RGPD y el 10 de junio de 2024, reconociendo que ha aplicado un sistema de fichaje por huella dactilar sin concurrir una excepción del artículo 9.2, ni elaborar y superar una previa EIPD, ni consultar al DPD de la GVA. Por lo que las infracciones están consumadas, y deben ser objeto de sanción, como bien señalaba la propuesta de resolución. El hecho de que haya podido sustituir el sistema de fichaje a través de huella por otro que no precisa de datos biométricos constata también que la opción de fichaje por huella dactilar, con uso, por lo tanto, de datos personales de categoría especial no era la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/43 única posibilidad para alcanzar la finalizada de control de jornada por cuanto se informa de la instauración de un sistema de fichaje por usuario y contraseña, - Y respecto a las medidas correctivas, cabe mantener el pronunciamiento de las mismas en la resolución, toda vez que el IVASS afirma que el sistema que está empleando desde el 10 de junio de 2024 -basado en la introducción manual de un código por el empleado en un terminal-es provisional, y que está diseñando un nuevo sistema de fichaje (no biométrico) que sea implantado de forma definitiva. Por lo que las medidas estarán vigentes hasta que se constate que el sistema definitivo de fichaje que se implante finalmente se ha realizado con participación del DPD, no implica el tratamiento de datos biométricos, o que en caso de hacerlo, cumple con el resto de requisitos que el RGPD exige para el tratamiento de datos biométricos (tales como la excepción del artículo 9.2, y la EIPD del artículo 35, que implica que el tratamiento biométrico sea necesario, proporcional, e idóneo, no existiendo otras alternativas menos intrusivas que permitan cumplir con la finalidad perseguida). V Valoración de la prueba Para adoptar la resolución del presente procedimiento, se ha procedido a valorar la documentación aportada por la entidad reclamada en los 3 escritos presentados en el presente procedimiento con fechas de 4 de marzo, 21 de marzo y 18 de junio de 2024, obteniendo las siguientes conclusiones al respecto: En sus dos escritos de contestación al traslado de la reclamación de 4 y 21 de marzo de 2024, se presentan: Como documentos 1 y 2 se aportan un Informe de ***EMPRESA.1 de 19 de enero de 2024 sobre interpretación de la Guía de tratamiento biométricos publicada en noviembre de 2023 sobre esta Agencia, y la Nota informativa emitida por la aplicación diseñada por ***EMPRESA.2, que es ***APLICACIÓN.1. Se acompaña como Documento 3 un Informe de la DPD de la GVA de 5 de marzo de 2024 que fue solicitado por el IVASS al objeto de contestar al traslado de la reclamación que da origen al presente procedimiento, en el que la DPD hace constar que los tratamientos de control del horario laboral mediante sistemas biométricos les resulta de aplicación el régimen jurídico en materia de protección de datos, y solicita la remisión de las prescripciones técnicas del programa al objeto de realizar un análisis más profundo, señalando a su vez que en caso de implantar tratamientos biométricos de huella dactilar, deberá remitir cierta documentación obligatoria, entre la que está el previo análisis de riesgo y elaboración de una Evaluación de Impacto sobre la Protección de Datos (en adelante, EIPD), además de comprobar los hechos objeto de reclamación, y revisar si concurre base de licitud. Se acompaña como Documento 4 una oferta con información comercial sobre el programa ***APLICACIÓN.1, plataforma de gestión del tiempo y personas que la reclamada dice haber obtenido de la entidad con la que contrató la misma, el mismo 21 de marzo de 2024. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/43 Y por último, se acompaña como Documento 5 el nuevo informe de la DPD de la GVA de 11 de marzo de 2024 dirigido al IVASS, que tras analizar la referida Oferta y documentación de ***PLATAFORMA.1, concluye en lo siguiente: “2. Entre otras cuestiones, determina que IVASS ha interpretado erróneamente que el sistema contratado no hace uso de datos biométricos, cuando la plantilla obtenida a partir de una huella digital es en sí un dato biométrico. Esta observación se fundamenta en que el escáner de huellas digitales captura patrones únicos en cada huella, como arcos, bucles y remolinos. Estos patrones se traducen en una serie de números y códigos que forman la plantilla biométrica de huella digital (número)”. 3.- La oferta aportada por parte de la empresa adjudicataria no ofrece información ni valoración respecto al uso o no de datos biométricos por parte de su sistema de control de fichajes, por lo que el IVASS sólo dispone de la nota informativa referenciada anteriormente, de la que se ha interpretado erróneamente que el sistema no hace uso de datos biométricos, puesto que los términos en los que se ha realizado la redacción de la misma, están dirigidos a que las personas afectadas así lo consideren. Sin embargo, ya se ha documentado, en el apartado anterior, que no es así, ya que la plantilla obtenida a partir de una huella digital es un dato biométrico. 4.- Por tanto, es recomendación de esta delegación, que el IVASS debería atender nuevamente el requerimiento de la AEPD, teniendo en cuenta, tanto las directrices del primer informe que se les remitió el 5 de marzo por parte de esta delegación, así como el contenido del apartado 2 de este informe y resto de observaciones” Del análisis de los referidos documentos se concluye que el IVASS ha estado tratando datos biométricos desde el año 2010, puesto que, como bien señala la DPD de la GVA en los dos informes mencionados, el IVASS interpretó erróneamente que ***PLATAFORMA.1 que había contratado no trataba datos biométricos, basándose en lo que señalaba la Nota Informativa que se dirigía a los usuarios del Programa para su tranquilidad, en la que se indicaba que el registro no almacenaba la huella sino un código alfanumérico obtenido de dicha huella, que es precisamente la plantilla biométrica de la huella dactilar, que tiene la consideración indubitada de dato biométrico. Así pues, como señala con buen criterio la DPD en su último informe, la plantilla biométrica es precisamente este código alfanumérico al que se refiere la nota informativa. Se indica al respecto que: “El protocolo de funcionamiento de los sistemas biométricos suele ser el siguiente: - La huella digital se convierte en una plantilla biométrica (número) que se archiva en el sistema de fichaje o bien en un dispositivo como puede ser una tarjeta que pasa a ser propiedad del empleado o de la empleada. - El escáner de huellas digitales captura patrones únicos en cada huella, como arcos, bucles y remolinos. Estos patrones se traducen en una serie de números y códigos que forman la plantilla biométrica de huella digital (número). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/43 - Se compara la plantilla obtenida por el sensor con la plantilla almacenada en el sistema de fichaje o en un dispositivo y únicamente se registra el fichaje asociado a la persona cuyas plantillas coinciden”. El desconocimiento de que la plantilla biométrica obtenida del programa es un dato biométrico por parte de la reclamada y su falta de análisis concienzudo de las prescripciones técnicas del programa, que no ha aportado a este procedimiento ni a su propia DPD, denota una falta grave de la diligencia que le es exigible a todo responsable del tratamiento en virtud del Principio de Responsabilidad Proactiva del artículo 24 del RGPD, primero porque la conclusión obtenida se basó únicamente en analizar esta Nota Informativa, y no las prescripciones técnicas del programa (que no se aportaron ni a su DPD ni en este procedimiento), y segundo porque incluso al analizar el contenido de la citada nota, se desprende claramente que lo que el programa almacena es una plantilla biométrica (código alfanumérico obtenido a partir de la huella dactilar), y que esta es un dato biométrico. Hecho que debía conocer por su condición de responsable del tratamiento, y hubiera conocido de haberlo consultado con su DPD una vez ésta fuera designada tras la entrada en vigor del RGPD. Así pues, si bien es cierto que inicialmente el IVASS mantuvo en su primera respuesta al traslado de esta Agencia de 4 de marzo de 2024 que su programa no trataba datos biométricos, a raíz de su segundo escrito de 21 de marzo de 2024, tras solicitar y recibir los referidos informes de la DPD, el IVASS reconoce implícitamente que ha tratado datos biométricos, limitándose a partir de entonces a informar de las medidas correctoras que tiene previstas, o que ha adoptado para sustituir su sistema de fichaje/registro de jornada laboral por otro que no trate datos biométricos. De lo que se deduce un reconocimiento implícito de que el sistema anterior, efectivamente, estuvo tratando datos biométricos desde el año 2010 hasta su presunta supresión en junio de 2024. No obstante, pese a los requerimientos realizados por la DPD de la GVA en dos ocasiones, y lo indicado en el acuerdo de inicio del presente expediente, la reclamada no hace mención alguna ni acredita haber cumplido con los requisitos exigibles para tratar datos biométricos a los que se refieren los artículos 35, 38 y 9 del RGPD, puesto que no aporta ninguna EIPD, ni acredita o manifiesta haber consultado a su DPD antes del presente procedimiento, habiendo incluso ignorado las recomendaciones que obtuvo a raíz del Informe ***EMPRESA.1 de 19 de enero de 2024, como bien señala la DPD en su informe. Y lo mismo cabe señalar respecto a la concurrencia de una excepción del artículo 9.2 que le habilitase a tratar datos biométricos tras la entrada en vigor del nuevo RGPD. No se encuentran referencias al incumplimiento de estos requisitos. - Documentos aportados en el escrito de alegaciones al acuerdo de inicio. En el escrito de alegaciones al acuerdo de inicio, la entidad reclamada sigue sin acreditar ni hacer mención al cumplimiento de los requisitos cuya vulneración implica la comisión de las 3 infracciones que se imputan en el presente procedimiento. Partiendo de que ***PLATAFORMA.1 utilizado desde el 2010 sí trata datos biométricos, la reclamada se limita a informar de las medidas correctivas adoptadas, y la sustitución de este sistema por otro que no trata datos biométricos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/43 Y la prueba aportada se refiere a acreditar dichas medidas correctivas y los motivos por los que no se ha podido proceder a la sustitución del sistema con anterioridad. Así pues, en el escrito de alegaciones al acuerdo de inicio se aportan los siguientes documentos, que se valoran de la forma siguiente: Documento 1. Prescripciones Técnicas de la licitación del “***REFERENCIA.1, tramitado al amparo del establecimiento del sistema dinámico de adquisición de la central de compras de la Generalitat, ***REFERENCIA.2, para la contratación del suministro en régimen de alquiler de un paquete de software en modo SAAS, que incluya un sistema integral de fichaje para el control horario, planificación de turnos de trabajo y mantenimiento para los centros y servicios de IVASS”, que según el IVASS comenzó en diciembre de 2023 y se ha declarado desierto por la no concurrencia de empresas. Del examen de estas prescripciones se desprende que es cierto que el IVASS ha intentado licitar un sistema que no utilice métodos biométricos, puesto que ello se impone como condición de la licitación. No se acredita, sin embargo, ni la fecha en la que comenzó la licitación ni que la misma haya quedado desierta. Y hay que decir que, incluso en el mejor de los casos, si fuera cierto que se licitó en diciembre de 2023 y ha quedado desierta, ello implicaría que cuando comenzó la licitación el IVASS ya llevaba más de 5 años tratando datos biométricos sin cumplir con los requisitos a los que se refiere este procedimiento, por lo que las infracciones ya estaban consumadas. Documento 2. Manual de uso del Programa ***APLICACIÓN.2 de la GVA, por el que se realiza el registro de jornada y control de horario del personal administrativo de la misma. Documento que no versa sobre el objeto de este procedimiento, puesto que no ha sido utilizado por el IVASS, según este mismo afirma, y de haberlo hecho, hubiera sido también con posterioridad a consumar las infracciones imputadas en este procedimiento, por lo que carece de relevancia probatoria. Documento 3. Carta informativa dirigida por la DPD de la GVA a las secretarias generales de las administraciones de la GVA, fechada a 27 de marzo de 2024, donde se informa de la necesidad de que la DPD sirva de punto de contacto con las autoridades de protección, como la presente Agencia. Documento que nuevamente no exime de la comisión de las infracciones sobre las que versa este procedimiento, y tampoco permite acreditar que se han adoptado medidas correctivas relativas al deber de consultar e involucrar al DPD, puesto que la carta se ha remitido por la DPD y no por el IVASS, y no supone el establecimiento de ningún protocolo de actuación para consulta y participación del DPD en todas las cuestiones de normativa de protección de datos, tal y como se hacía constar en las medidas correctivas del acuerdo de inicio. - Documentos aportados en las alegaciones a la propuesta de resolución. Cabe señalar, como ya se ha avanzado al contestar a las referidas alegaciones, que la reclamada manifestaba haber remitido una comunicación a su personal el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/43 pasado 6 de junio de 2024, en la que informa de que se suprime el sistema de fichaje de huella a través de ***PLATAFORMA.1 ***EMPRESA.3 que no se aportó en el momento en que informó sobre la misma a esta AEPD sino, posteriormente, en las alegaciones a la propuesta de resolución dictada. Este documento permite acreditar el hecho alegado por el IVASS de que se ha suprimido o inhabilitado el sistema de fichaje por huella dactilar desde el 10 de junio de 2024, fecha que consta en la comunicación como fecha de inicio a partir del cual se debería emplear el nuevo sistema. Ello debe entenderse como nuevo hecho probado, y así se ha hecho constar en el hecho probado primero. No obstante, tal y como se ha indicado en el Fundamento de Derecho anterior, a la vista de que se indica que este sistema es provisional y que está licitándose un nuevo sistema definitivo de fichaje, la adopción de medidas correctivas debe mantenerse hasta que se acredite cómo es este nuevo sistema definitivo, y se aporten evidencias de haber cumplido con el resto de medidas correctivas que se imponen en esta Resolución. En definitiva, de la valoración de la prueba aportada se deduce que la reclamada ha estado tratando datos biométricos desde el año 2010 al contratar ***PLATAFORMA.1 (***EMPRESA.3) para el registro de jornada laboral de sus empleados mediante huella dactilar, y que tras entrar en vigor el RGPD el 25 de mayo de 2018, momento en el que los datos biométricos se elevaron a categoría especial, y fueron calificados como tratamiento de alto riesgo, el IVASS no actuó con la diligencia exigible a un responsable de tratamiento de datos personales para garantizar que su sistema de fichaje de la jornada laboral basado en huella dactilar cumplía las exigencias derivadas de esta nueva regulación, ni ha procedido a suprimir el mismo e iniciar los trámites necesarios para sustituirlo por otro que se adapte al nuevo RGPD hasta que no tuvo conocimiento de la interposición de la reclamación ante esta Agencia. VI Obligación incumplida. Art. 35 Evaluación de Impacto de Protección de datos personales 6.1. Sobre la necesidad de realizar y superar una EIPD. Tal y como se ha expuesto anteriormente, antes de implantarse o continuar con una plataforma de tratamiento de datos basado en esta tecnología tan intrusiva como es el caso del programa “***PLATAFORMA.1” que la reclamada contrató con ***EMPRESA.2 (ahora ***EMPRESA.3) para posibilitar el fichaje de la jornada de su personal, es preciso también auditar previamente su funcionamiento, no de forma aislada sino en el marco del tratamiento concreto en que se va a emplear (en este caso, registro diario de la jornada laboral a los empleados del IVASS). La evaluación de impacto en la protección de datos personales, EIPD, aparece desde la entrada en vigor del RGPD como una nueva herramienta exigible al responsable de tratamientos de “alto riesgo” para garantizar que se cumple con esta vertiente del tratamiento, según lo establecido en el artículo 35 en su apartado- 1 del RGPD: “Cuando sea probable que un tipo de tratamiento, en particular si utiliza nuevas tecnologías, por su naturaleza, alcance, contexto o fines, entrañe un alto riesgo para los derechos y libertades de las personas físicas, el responsable del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/43 realizará, antes del tratamiento, una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales…” Como ya se ha indicado, el tratamiento de datos biométricos se ha incluido en la Lista de tratamientos considerados de alto riesgo por la AEPD, en virtud de lo previsto en el artículo 35.4 del RGPD, por lo que debemos partir de la base de que el tratamiento de datos biométricos implantado por el IVASS debió estar precedido de una evaluación de impacto válida, que incluyese como mínimo los apartados previstos en el artículo 35.7 del RGPD. Ello implica que no basta con realizar una EIPD, sino que habrá que superarla para cumplir con el RGPD. Esta evaluación se hará con carácter previo al inicio del tratamiento, pero deberá entenderse como una evaluación continua o periódica, en el sentido establecido por el artículo 35.11 del RGPD, que dispone: “En caso necesario, el responsable examinará si el tratamiento es conforme con la evaluación de impacto relativa a la protección de datos, al menos cuando exista un cambio del riesgo que representen las operaciones de tratamiento.” En base a ello se entiende que, de confirmarse la afirmación realizada por el IVASS de que el tratamiento comenzó en 2010 cuando se contrató la plataforma, el tratamiento de datos biométricos realizado mediante la misma debía haberse ajustado a los requisitos previstos en la anterior normativa de protección de datos personales, y, sobre todo, debía haberse revisado con la entrada en vigor del RGPD en mayo de 2018, realizando y superando la correspondiente EIPD a partir de entonces. Una EIPD debe cumplir con los requisitos o contenido mínimo relacionado en el artículo 35.7 del RGPD, que dispone: “La evaluación deberá incluir como mínimo:
  22. a)una descripción sistemática de las operaciones de tratamiento previstas y de los fines del tratamiento, inclusive, cuando proceda, el interés legítimo perseguido por el responsable del tratamiento;
  23. b)una evaluación de la necesidad y la proporcionalidad de las operaciones de tratamiento con respecto a su finalidad;
  24. c)una evaluación de los riesgos para los derechos y libertades de los interesados a que se refiere el apartado 1, y
  25. d)las medidas previstas para afrontar los riesgos, incluidas garantías, medidas de seguridad y mecanismos que garanticen la protección de datos personales, y a demostrar la conformidad con el presente Reglamento, teniendo en cuenta los derechos e intereses legítimos de los interesados y de otras personas afectadas”. En definitiva, la superación de una EIPD exige que el responsable de un tratamiento de alto riesgo documente por escrito que supera la evaluación de idoneidad, necesidad y proporcionalidad del tratamiento, y que gestione desde el diseño los riesgos específicos del tratamiento, con la aplicación práctica de medidas orientadas a los mismos de forma que se garantice un umbral de riesgo aceptable durante todo el ciclo de vida del tratamiento, tal como se establece en el artículo 35 del RGPD. Además, obliga a la consulta previa a la autoridad de control en caso de que el responsable no haya tomado medidas que permitan mitigar el riesgo de acuerdo al artículo 36 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 30/43 En el presente supuesto, constan evidencias de que la entidad reclamada: Inició en el año 2010 un tratamiento de datos biométricos al implantar el sistema de fichaje de jornada laboral a través de detección de huella dactilar para los empleados del IVASS, y cuando entró en vigor el nuevo RGPD, continuó con el sistema de fichaje biométrico sin realizar una previa EIPD de acuerdo con lo previsto en el artículo 35 del RGPD. Todo ello, por entender que la Nota informativa del programa significaba que el programa no trataba datos biométricos. Que tenía conocimiento del informe elaborado por ***EMPRESA.1 con fecha de 19 de enero de 2024, que recomendaba la elaboración y superación de una previa EIPD para el tratamiento biométrico, pero no tuvo en cuenta sus recomendaciones. Que su DPD le ha informado en fechas de 5 de marzo de 2024 y 11 de marzo de 2024, siguiendo el criterio de esta Agencia, de la necesidad de realizar una EIPD que analizase los riesgos concurrentes, la necesidad-idoneidad y proporcionalidad del tratamiento en comparación con otros posibles métodos de fichaje de la jornada laboral, y prevea las medidas adecuadas para afrontar dichos riesgos. Por último, en sus escritos de contestación al traslado la reclamada no manifestó su intención elaborar y superar una EIPD que analice el tratamiento de datos biométricos que actualmente se continúa realizando en el IVASS a través del programa ***PLATAFORMA.1, tal y como le recomendaba la DPD. Y en su escrito de alegaciones al acuerdo de inicio informa de que ha cambiado a un sistema que no implique el tratamiento de datos biométricos en un futuro, habiendo procedido a suprimir el uso del sistema anterior. 6.2. Sobre la exigencia de que el tratamiento de datos biométricos sea necesario, idóneo y proporcional. No haber realizado y superado la preceptiva EIPD en este supuesto supone, entre otras cosas, que el IVASS reconoce que está tratando datos biométricos de sus empleados desde que implantó el sistema de control de fichaje de la jornada laboral mediante huella dactilar, y que ha continuado con el mismo hasta la actualidad sin haber realizado previamente el juicio sobre su necesidad, idoneidad y proporcionalidad al que le obligan los artículos 5.1.
  26. c)y 35.4.
  27. b)del RGPD. Juicio que es parte del contenido de la EIPD, y continúa sin plantearse en la actualidad. Así pues, el artículo 5.1.
  28. c)del RGPD, recoge el denominado “Principio de minimización de datos personales” que dispone lo siguiente: “1. Los datos personales serán:
  29. a)adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»)”. Cabe destacar que, especialmente desde la entrada en vigor del RGPD, el respeto de este principio deberá ser el punto de partida del inicio de todo tratamiento, debiendo plantearse el responsable si este tratamiento será realmente necesario, idóneo, y proporcional antes de iniciarlo o continuar con el mismo, en este caso. Por tanto, los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 31/43 sistemas que utilizaban el tratamiento biométrico para fichaje de jornada laboral de sus empleados antes de la entrada en vigor del RGPD, debieron realizar este previo análisis antes d continuar con el tratamiento de datos personales, análisis que es necesario documentar dentro de la EIPD cuando exista probabilidad de que el tratamiento entrañe un alto riesgo (como es el caso de los biométricos tratados en este sistema de fichaje de control de jornada). Así pues, la EIPD deberá contener, además de otros aspectos, “
  30. b)una evaluación de la necesidad y la proporcionalidad de las operaciones de tratamiento con respecto a su finalidad”, de acuerdo con el artículo 35.7.
  31. b)del RGPD. Ello se confirma por el considerando 39 del RGPD, que subraya la importancia de que el tratamiento sea necesario, indicando que “Los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios.” En la misma línea se pronuncia el Grupo de Trabajo del artículo 29, en su Dictamen 3/2012 sobre la evolución de las tecnologías biométricas. La obligación de tratar únicamente “los datos personales que sean adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados” prevista por el principio de minimización de datos/ del artículo 5.1.
  32. c)del RGPD, y de evaluar la necesidad y proporcionalidad del tratamiento en la EIPD según el artículo 35.7
  33. b)del RGPD, debe interpretarse de conformidad con lo previsto por la reiterada jurisprudencia de nuestro Tribunal Constitucional respecto a la necesidad de constatar que toda medida restrictiva de derechos fundamentales (operaciones de tratamiento que comprenden datos biométricos y de geolocalización en este caso) supera lo que se denomina como “el triple juicio de proporcionalidad”. Ello implica que, antes que nada, es necesario constatar si cumple los tres siguientes requisitos o condiciones a los que se refiere el Tribunal Constitucional: «si tal medida es susceptible de conseguir el objetivo propuesto (juicio de idoneidad); si, además, es necesaria, en el sentido de que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia (juicio de necesidad); y, finalmente, si la misma es ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto (juicio de proporcionalidad en sentido estricto)”. En el presente supuesto, no consta que el IVASS realizase una evaluación de esta necesidad, idoneidad y proporcionalidad una vez entró en vigor el RGPD. Lo que es requisito previo e inicial, sin el cual no cabe continuar con el tratamiento de datos biométricos ni se podrían superar los requisitos mínimos para aprobar una EIPD válida, puesto que el tratamiento de aquellos datos personales que no sean necesarios, idóneos y proporcionales está prohibido por el RGPD. Pero además de no haberse realizado dicho triple juicio previo de proporcionalidad, cabe advertir que no constan evidencias en el procedimiento de que el sistema de fichaje biométrico a través de huella dactilar fuera necesario para cumplir con la finalidad de control de jornada laboral, para la que fue implantado. Ello es así dado que en materia de registro de jornada laboral existen y se podían utilizar otros sistemas de fichaje menos intrusivos que permitían cumplir con la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 32/43 finalidad pretendida con menores riesgos para los interesados, tales como las tarjetas magnéticas, conexión vía web, u hojas de firmas que son habituales y de fácil implantación por los empleadores, máxime dentro del ámbito del sector público. Sin embargo, la entidad reclamada no ha aportado ningún análisis que permita descartar otros medios alternativos de registro y control de la jornada laboral, que sean menos invasivos. Es más, la reclamada manifiesta en el apartado séptimo de sus alegaciones al acuerdo de inicio, referido al cumplimiento la medida provisional de suspensión del tratamiento de datos biométricos acordada, lo siguiente: “De acuerdo con lo dispuesto en el artículo 69 de la LOPDGDD y el artículo 56 de la LPACAP y como ya se ha apuntado en la alegación quinta, IVASS ha procedido al cambio de sistema del fichaje y suspensión definitiva de todo tratamiento de datos personales a través de un sistema de fichaje por lector que disponen los terminales del aplicativo actual. De este modo, el día 6 de junio, se remitió nota informativa a toda la plantilla de la entidad para anunciar el cambio del sistema de fichaje. De esta forma, en lugar de utilizar el lector del terminal (el cual se ha inhabilitado), el fichaje se realizaría de forma general, a través de un código de empleado y contraseña introducido en el terminal, hasta la licitación del nuevo aplicativo.” Así pues, entre la notificación de la medida provisional producida el 4 de junio de 2024, y el día en que se notificó ( 6 de junio de 2024) e implantó el cambio en el sistema de fichaje (10 de junio de 2024), transcurrieron únicamente dos y seis días, respectivamente, lo que implica que el IVASS ha podido arbitrar de forma aparentemente sencilla y en un breve lapso de tiempo un sistema de fichaje de la jornada laboral alternativo, que no implica el tratamiento de datos biométricos. Por tanto, queda confirmado también el hecho de que sí existían alternativas menos intrusivas e igual de idóneas para posibilitar la identificación unívoca de los empleados que realizan el registro de la jornada laboral. En conclusión, se considera que los hechos expuestos vulneran lo establecido en el artículo 35 del RGPD, por no realizar y superar el IVASS una EIPD previa al inicio del tratamiento de fichaje de la jornada laboral a través de huella dactilar utilizado por sus empleados. VII Tipificación y calificación de la infracción del artículo 35 del RGPD. Tal y como se ha expuesto, se considera que los hechos expuestos vulneran lo establecido en el artículo 35 del RGPD, lo que supone la comisión de una infracción administrativa tipificada en el artículo 83.4.
  34. a)del RGPD que indica que: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 10 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 2 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/43
  35. a)Las obligaciones del responsable y del encargado a tenor de los artículos 8, 11, 25 a 39, 42 y 43.” A los efectos de prescripción, la LOPDGDD establece en su artículo 73.
  36. t)que: “En función de lo que establece el artículo 83.4 del Reglamento (UE) 2016/679 se consideran graves y prescribirán a los dos años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes:
  37. t)El tratamiento de datos personales sin haber llevado a cabo la evaluación del impacto de las operaciones de tratamiento en la protección de datos personales en los supuestos en que la misma sea exigible.” VIII Obligación incumplida. Sobre la prohibición de tratar datos de categoría especial del artículo 9 del RGPD Tal y como se ha anticipado, desde la entrada en vigor del RGPD, de acuerdo con el artículo 9.1 del RGPD, queda prohibido el tratamiento de datos biométricos cuando sean: “datos biométricos dirigidos a identificar de manera unívoca a una persona física”, como regla general, por lo que otro de los requisitos de este tipo de tratamiento de datos biométricos es que previamente a iniciar el tratamiento el responsable deberá también comprobar y acreditar que concurra una de las excepciones previstas en el artículo 9.2 del RGPD u otra legislación específica, que le habiliten a realizar este tipo de tratamientos para la finalidad específica de que se trate (en este caso, registro y control de la jornada laboral- de los empleados del IVASS). Hay que señalar que, estando prohibido su tratamiento con carácter general, cualquier excepción a dicha prohibición habrá de ser objeto de interpretación restrictiva. Tal y como se deduce de los considerandos 51 y 52 del RGPD. Así las cosas, las excepciones que posiblemente podrían permitir el levantamiento de la prohibición general de tratar datos biométricos dirigidos a identificar-verificar la identidad de personas físicas, son las que prevé el artículo 9.2. del RGPD, con el siguiente tenor literal, que deberá interpretarse restrictivamente, siempre en favor de proteger los derechos y libertades de los ciudadanos en caso de duda: “2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias siguientes:
  38. a)el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado;”
  39. b)el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión o de los Estados miembros.
  40. c)el tratamiento es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento;
  41. d)el tratamiento es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/43 ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados;
  42. e)el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos;
  43. f)el tratamiento es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial;
  44. g)el tratamiento es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado;
  45. h)el tratamiento es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario y sin perjuicio de las condiciones y garantías contempladas en el apartado 3;
  46. i)el tratamiento es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional.
  47. j)el tratamiento es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado”. Por tanto, además de no haber realizado una EIPD válida, si el responsable no acredita que su tratamiento está dentro de alguna de estas excepciones, incurrirá en una infracción del artículo 9 del RGPD por iniciar un tratamiento prohibido. En el presente supuesto, consta acreditado que la entidad reclamada no obró con la diligencia exigible a un responsable del tratamiento y entendió erróneamente que no estaba tratando datos biométricos de carácter personal al utilizar el método de fichaje por huella dactilar, por lo que no consideró necesaria la concurrencia de una de estas excepciones. Y mantiene que ha procedido a sustituirlo por otro que no trata datos biométricos, inhabilitando el fichaje a través de huella dactilar, y comunicándolo a su personal el pasado mes de junio de 2024. A pesar de ello, no aporta ninguna prueba ni hace mención alguna a que concurriese una de estas excepciones durante el periodo en el que el tratamiento basado en el fichaje de huella dactilar estuvo en funcionamiento. Ni en el último de sus escritos de contestación al traslado de 21 de marzo de 2024, ni en sus alegaciones al acuerdo de inicio ni a la propuesta de resolución, se hace mención a la concurrencia de ninguna excepción que le habilitase a tratar datos biométricos, hasta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/43 su supresión y sustitución. Y ello pese a que el acuerdo de inicio señalaba detalladamente los motivos por los que se entendía que el IVASS dispone de una base de licitud del artículo 6.1 del RGPD que le habilita a tratar datos de carácter personal con la finalidad de controlar el cumplimiento de la jornada laboral de sus empleados, pero que en caso de emplear un sistema que trate datos biométricos, como es el caso, deberá acreditar además que concurre una excepción del artículo 9.2 del RGPD, que levante la prohibición de tratamiento de estos datos biométricos. No concurriendo, por tanto, la excepción de tratamiento de datos biométricos del cumplimiento de una obligación legal prevista en el derecho español, ni habiéndose acreditado la concurrencia de ninguna otra excepción prevista en el artículo 9.2 del RGPD, se considera que el tratamiento incurrió, asimismo, en una infracción administrativa del artículo 9 del RGPD. En cualquier caso, hechas estas aclaraciones, cabe señalar que en el presente supuesto, no habiéndose acreditado por la entidad reclamada la concurrencia de ninguna de las excepciones previstas en el artículo 9.2 del RGPD que le permitieran levantar la prohibición general de tratamiento de datos biométricos entre la entrada en vigor del RGPD y su presunta supresión, a la vista de las evidencias que constan y tras la instrucción practicada, se considera que el tratamiento realizado mediante el sistema de fichaje biométrico utilizado por el IVASS, supone incurrir en una infracción administrativa del artículo 9 del RGPD. IX Tipificación y calificación de la infracción del artículo 9 del RGPD Tal y como se ha expuesto en el Fundamento de Derecho VII, de conformidad con las evidencias de las que se dispone en el presente momento, se considera que los hechos expuestos vulneran lo establecido en el artículo 9 del RGPD, lo que podría suponer la comisión de una infracción administrativa tipificada en el artículo 83.5 del RGPD, que dispone lo siguiente: “Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: “
  48. a)los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9.” A los efectos de prescripción, la LOPDGDD establece en su artículo 72.e): “En función de lo que establece el artículo 83.5 del Reglamento (UE) 2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que supongan una vulneración sustancial de los artículos mencionados en aquel y, en particular, las siguientes: “
  49. e)El tratamiento de datos personales de las categorías a las que se refiere el artículo 9 del Reglamento (UE) 2016/679, sin que concurra alguna de las circunstancias previstas en dicho precepto y en el artículo 9 de esta ley orgánica.” X Sobre la obligación de participación del DPD prevista en el artículo 38 del RGPD. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 36/43 Otra de las grandes novedades que convierten al RGPD en un cambio de paradigma en materia de protección de datos es su configuración como un marco modernizado y basado en la rendición de cuentas para la protección de los datos personales en Europa, donde los delegados de protección de datos (DPD) son el elemento central, por facilitar al responsable y encargado del tratamiento el cumplimiento de las disposiciones del RGPD. En torno a esta idea, los artículos 37 a 39 del RGPD, regulan los supuestos en que su designación es obligatoria, la posibilidad de designarlos voluntariamente, obligaciones como la de publicar sus datos de contacto y comunicarlos a la autoridad de control, así como su posición, y funciones dentro de la organización para la que es designado. En concreto, y por lo que respecta al presente expediente, cabe hacer referencia a lo que establece el artículo 38 del RGPD, sobre la “Posición del delegado de protección de datos”, que dispone lo siguiente: 1. El responsable y el encargado del tratamiento garantizarán que el delegado de protección de datos participe de forma adecuada y en tiempo oportuno en todas las cuestiones relativas a la protección de datos personales. 2. El responsable y el encargado del tratamiento respaldarán al delegado de protección de datos en el desempeño de las funciones mencionadas en el artículo 39, facilitando los recursos necesarios para el desempeño de dichas funciones y el acceso a los datos personales y a las operaciones de tratamiento, y para el mantenimiento de sus conocimientos especializados. 3. El responsable y el encargado del tratamiento garantizarán que el delegado de protección de datos no reciba ninguna instrucción en lo que respecta al desempeño de dichas funciones. No será destituido ni sancionado por el responsable o el encargado por desempeñar sus funciones. El delegado de protección de datos rendirá cuentas directamente al más alto nivel jerárquico del responsable o encargado. 4. Los interesados podrán ponerse en contacto con el delegado de protección de datos por lo que respecta a todas las cuestiones relativas al tratamiento de sus datos personales y al ejercicio de sus derechos al amparo del presente Reglamento. 5. El delegado de protección de datos estará obligado a mantener el secreto o la confidencialidad en lo que respecta al desempeño de sus funciones, de conformidad con el Derecho de la Unión o de los Estados miembros. 6. El delegado de protección de datos podrá desempeñar otras funciones y cometidos. El responsable o encargado del tratamiento garantizará que dichas funciones y cometidos no den lugar a conflicto de intereses”. En esta línea, las Directrices W243 sobre los Delegados de Protección de Datos del Grupo de Trabajo del artículo 29, aprobadas el 13 de diciembre de 2016, y revisadas el 5 de abril de 2017, remarcan la importancia de la obligación que tiene el responsable de hacer efectiva esta participación, consultando al DPD de su C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 37/43 organización antes de adoptar decisiones que afecten a la protección de datos de forma previa y adecuada a cada tratamiento de datos personales que pretenda realizar. “3.1. Participación del DPD en todas las cuestiones relativas a la protección de datos personales El artículo 38 del RGPD establece que el responsable y el encargado del tratamiento garantizarán que el DPD «participe de forma adecuada y en tiempo oportuno en todas las cuestiones relativas a la protección de datos personales». Es fundamental que el DPD, o su equipo, participen desde la etapa más temprana posible en todas las cuestiones relativas a la protección de los datos. En cuanto a las evaluaciones de impacto relativas a la protección de datos, el RGPD dispone expresamente la implicación temprana del DPD y especifica que el responsable del tratamiento recabará el asesoramiento del DPD al realizar dicha evaluación de impacto .Garantizar que se informa y consulta al DPD desde el principio facilitará el cumplimiento del RGPD, fomentará un enfoque de privacidad desde el diseño y, por lo tanto, debería ser un procedimiento estándar en la gobernanza de la organización. Asimismo, es importante que el DPD sea considerado como un interlocutor dentro de la organización y que forme parte de los correspondientes grupos de trabajo que se ocupan de las actividades de tratamiento de datos dentro de la organización. En consecuencia, la organización debe garantizar, por ejemplo, que: · Se invita al DPD a participar con regularidad en reuniones con los cuadros directivos altos y medios. · Se recomienda que esté presente cuando se toman decisiones con implicaciones para la protección de datos. Toda la información pertinente debe transmitirse al DPD a su debido tiempo con el fin de que pueda prestar un asesoramiento adecuado. · La opinión del DPD se tiene siempre debidamente en cuenta. En caso de desacuerdo, el Grupo de Trabajo recomienda, como buena práctica, documentar los motivos por los que no se sigue el consejo del DPD. · Se consulta al DPD con prontitud una vez que se haya producido una violación de la seguridad de los datos o cualquier otro incidente. Cuando sea pertinente, el responsable o el encargado del tratamiento podría elaborar directrices o programas sobre la protección de datos que determinen cuándo debe consultarse al DPD”. Consta en el expediente que la DPD de la Generalitat Valenciana, que es la administración autonómica a la que está adscrita el IVASS, no fue consultado por el IVASS sobre el referido tratamiento de registro y control de la jornada laboral de los empleados que el IVASS a través de un sistema de huella dactilar, que estaba empleando. Tampoco consta que el IVASS designase su propio DPD y le involucrase al respecto de este tratamiento. Esto es, no consta la participación de un DPD, ni la previa consulta del IVASS a la DPD de la GVA o a uno propio que pudiera haber sido designado por el mismo cuando entró en vigor el nuevo RGPD, ni posteriormente cuando se recibió el informe ***EMPRESA.1 de 19 de enero de 2024. E incluso, tampoco consta que el IVASS consultase a un DPD antes de contestar a la solicitud que le había formulado por el reclamante el 13-12-23, en la que éste solicitó la supresión de su huella dactilar y el cambio al sistema de fichaje en papel y bolígrafo o cualquier otro medio de control de asistencia que no implique el tratamiento de datos biométricos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 38/43 A la vista de la documentación aportada al procedimiento, se deduce que la DPD de la GVA no tuvo conocimiento del sistema biométrico implantado por el IVASS hasta que no fue consultada en el mes de febrero de este año 2024 por la reclamada a raíz del requerimiento formulado por esta Agencia con ocasión del presente procedimiento. Una vez consultada, la DPD no dudó en emitir dos informes de 5 y 11 de marzo de 2024 donde examinó el sistema implantado, determinado que es un tratamiento biométrico, que la reclamada había interpretado erróneamente la documentación obtenida del encargado del tratamiento que desarrolló ***PLATAFORMA.1, y que era necesario cumplir con la obligación de realizar y superar una previa EIPD, así como acreditar la concurrencia de base de licitud, excepción, y resto de principios y obligaciones previstas en la normativa de protección de datos. Y por otra parte, pese a que en sus alegaciones a la propuesta d

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.