PS-00170-2023

1/51  Expediente N.º: EXP202202960 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES.......................................................................................................... 2 PRIMERO:................................................................................................................. 2 SEGUNDO:................................................................................................................ 3 TERCERO:................................................................................................................. 6 CUARTO:................................................................................................................... 6 ANTECEDENTES................................................................................................... 6 RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN................................ 7 QUINTO:.................................................................................................................. 15 SEXTO:.................................................................................................................... 15 SÉPTIMO:................................................................................................................ 16 OCTAVO:.................................................................................................................. 16 HECHOS PROBADOS................................................................................................ 18 PRIMERO................................................................................................................ 18 SEGUNDO............................................................................................................... 18 TERCERO................................................................................................................ 18 CUARTO.................................................................................................................. 18 QUINTO................................................................................................................... 19 SEXTO..................................................................................................................... 19 SÉPTIMO................................................................................................................. 19 OCTAVO................................................................................................................... 19 NOVENO.................................................................................................................. 20 DÉCIMO................................................................................................................... 20 DÉCIMOPRIMERO.................................................................................................. 20 FUNDAMENTOS DE DERECHO................................................................................. 21 I Competencia.......................................................................................................... 21 II Cuestiones previas................................................................................................ 21 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/51 III Contestación a las alegaciones relativas al incumplimiento del artículo 13 RGPD ................................................................................................................................. 22 IV Contestación a las alegaciones relativas al incumplimiento del artículo 32 RGPD ................................................................................................................................. 25 V Contestación a las alegaciones relativas al incumplimiento del artículo 35 RGPD27 VI Obligación de información incumplida. Artículo 13 RGPD.................................... 29 VII Falta de información. Artículo 13 RGPD Tipificación y calificación de la infracción ................................................................................................................................. 32 VIII Falta de información. Artículo 13 RGPD. Sanción............................................. 33 IX Falta de medidas de seguridad. Artículo 32 RGPD. Obligación incumplida.........33 X Tipificación y calificación a los efectos de la prescripción de la infracción del artículo 32 del RGPD............................................................................................... 36 XI Falta de medidas de seguridad artículo 32 RGPD............................................... 37 XII Evaluación de impacto relativa a la protección de datos. Artículo 35 RGPD Obligación incumplida.............................................................................................. 38 XIII Tipificación de la infracción del artículo 35 RGPD.............................................. 46 XIV Falta de evaluación de impacto artículo 35 RGPD............................................ 47 XV Adopción de medidas......................................................................................... 47 RESUELVE:................................................................................................................. 48 ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 14 de febrero de 2022 interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CTC EXTERNALIZACIÓN, S.L. con NIF B60924131 (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: Se reclama que en la entidad CTC EXTERNALIZACIÓN, S.L. se han solicitado datos biométricos, en concreto la huella dactilar, a los empleados con la finalidad de implantar un sistema de fichaje basado en ese dato. Se expone que en el momento de tomar los datos biométricos no se comunicó que la información se encontraba en el portal del empleado, localizada en la parte más recóndita de la aplicación a la que no tienen acceso todos los trabajadores que emplean el nuevo sistema de fichaje. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/51 Junto a la reclamación se aporta Impresión de correos electrónicos intercambiados entre la parte reclamante y reclamada SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio traslado de dicha reclamación a la parte reclamada para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 14/03/2022 como consta en el acuse de recibo que obra en el expediente. Con fecha 22/03/2022 se recibe en esta Agencia escrito de respuesta indicando básicamente lo siguiente: 1. Se trata de un sistema de verificación/autenticación (uno a uno), No de Identificación (uno a varios). 2. No se almacena la huella dactilar. El lector genera un identificador numérico que es el que coincide con la huella. Se almacenan los identificadores y no la huella. Se utiliza un sistema de cifrado para el almacenamiento. Es imposible reproducir la huella dactilar a partir del identificador numérico. 3. El sistema no compara huellas, compara el código que se genera en la lectura con el código que está almacenado. 4. El sistema relaciona un número con un identificador numérico que se ha creado a través de un hash. 5. No se solicitan ni se tratan más datos de los estrictamente necesarios para la finalidad de este tratamiento. 6. No pueden reutilizarse los datos para otras finalidades y se suprimen cuando ya no son necesarios. 7. Los datos tratados son nombre, apellidos, código de empleado y huella dactilar de inicio que se transforma en un código de identificación. La huella como tal se elimina. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/51 8. Almacenan solo un template biométrico que es registrado en un repositorio central para su distribución al resto de dispositivos biométricos. 9. El repositorio central está ubicado en un servidor interno no accesible públicamente y con acceso restringido exclusivamente al administrador del sistema. 10. Se ha informado sobre el tratamiento de datos de carácter personal, concretamente: la identidad del Responsable del tratamiento, la base de legitimación, finalidades del tratamiento, contacto del delegado de protección de datos, derechos y procedimiento para ejercitarlos, que no se realizan cesiones de datos y plazo de conservación previsto. Además, la información se facilita a través del Portal del Empleado al que tienen acceso todos los Empleados. Se entregan las cláusulas de protección de datos de la empresa con las altas laborales. e envió en octubre 2021 un correo electrónico a los empleados informando de la actualización de las políticas de protección de datos y de su publicación en el Portal del Empleado. El sistema de acceso con la huella dactilar se activó a finales de diciembre 2021. 11. Tienen protección de datos desde el diseño: se ha seleccionado un proveedor con un software que ofrece todas las garantías en cumplimiento de las normativas de protección de datos, con el que se tiene firmado un contrato como Encargado del tratamiento. 12. No se realizan transferencias internacionales de datos. La ubicación está en el EEE. 13. Se aporta la Evaluación de impacto realizada, donde entre otras cuestiones: Consta que sí se cumple el principio de minimización de datos porque “La finalidad que se pretende cubrir requiere de todos los datos a recabar y para todas las personas/interesados afectados (principio de minimización de datos).”. No consta justificación de cómo se cumple este principio. Consta que se responde afirmativamente a la cuestión de que “Los datos recogidos se van a usar exclusivamente para la finalidad declarada y no para ninguna otra no informada ni incompatible con la legitimidad de su uso (principio de limitación de la finalidad).”. No consta justificación de cómo se cumple este principio. Consta en el apartado Resultado que “Tras el análisis de la necesidad y proporcionalidad de este tratamiento, el análisis de riesgos realizado y la valoración del riesgo Residual tras la aplicación de las correspondientes C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/51 medidas de seguridad, el resultado de este estudio de Evaluación de impacto de protección de datos EIPD es: ACEPTABLE.” 14. Se ha instalado un cartel informativo junto al aparato de fichajes sobre el tratamiento de datos con la finalidad que sea perfectamente visible por todos los trabajadores. También se ha ampliado la información de protección de datos relativa al uso de la huella dactilar para control de la jornada laboral y se ha comunicado a los empleados, a través del Portal del Empleado. 15. Con motivo de esta reclamación se ha enviado email a todos los empleados la cláusula informativa. 16. Han implantado las siguientes medidas para evitar que se produzcan incidencias similares: Cartel informativo junto al aparato de fichajes sobre el tratamiento de datos. Aporta copia del cartel informativo donde consta información del responsable, finalidad, legitimación, destinatarios, derechos y lugar donde localizar información adicional (Portal del Empleado). Se aporta captura de pantalla del Portal del Empleado donde consta un enlace a la cláusula informativa, pero no consta fecha de publicación, ni url del Portal del Empleado. Ampliación de la información de protección de datos relativa al uso de la huella dactilar para control de la jornada laboral y comunicación a los empleados, a través del Portal del Empleado. Envío de un correo electrónico a los empleados con la información actualizada de protección de datos relativa al uso de la huella dactilar para control de la jornada laboral y como canal para todas las dudas o aclaraciones que necesiten. Se realizará el seguimiento de la recepción de las nuevas cláusulas publicadas por todos los empleados. 1. Se aporta el Registro de actividades de tratamiento de la huella dactilar en el que consta que se usa la huella dactilar como sistema de verificación/autenticación, no de Identificación. 2. Han descartado otros sistemas p.e el fichaje con tarjeta porque tras la experiencia con el mismo, se dieron situaciones conflictivas. Se trata de un servicio en el que existe una gran rotación de personal. Cuando se utilizaba el sistema de tarjeta para el fichaje, en ocasiones se cedía a otras personas que no eran las titulares de la misma, presenciándose en la zona C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/51 de trabajo personal ajeno al mismo con todos los riesgos que supone de seguridad laboral. La utilización de la huella dactilar es el sistema que permite evitar estas situaciones delictivas y garantiza el correcto cumplimiento de la normativa laboral e impedir el acceso no autorizado. TERCERO: Con fecha 14 de mayo de 2022, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: ANTECEDENTES Junto a la reclamación la parte reclamación aporta los siguientes correos electrónicos: - Copia de correo electrónico enviado por soliobrera.secciontourline@gmail.com a ***USUARIO.1@grupoctc.com y a ***USUARIO.2@grupoctc.com con fecha 31/01/2022 con el texto: “El pasado viernes cuando me dispuse a firmar la salida de mi jornada laboral (método implantado desde un inicio para el registro y control de entrada-salida de trabajadores en centro de trabajo Madrid-Coslada), me informan que se va empezar a fichar con un control de acceso mediante huella dactilar y que tienen que tomarme las muestras, a lo que pregunto que sino van a darme información y algún documento en el que consienta el tratamiento de este tipo de datos y me dicen ( para mi sorpresa) que no hay[…]” - Aporta copia de correo electrónico enviado por ***USUARIO.1@grupoctc.com con fecha 02/02/2022 con el texto: “En primer lugar, no te informaron debidamente cuando preguntaste en el servicio si existía información sobre el tratamiento de los datos, pues sí que tenemos dicha información. En concreto, se encuentra en el portal del empleado de CTC, portal al que tienes acceso desde que te incorporaste en la compañía. Por otro lado, y atendiendo al artículo 9 sobre la Licitud del tratamiento, no es necesario el consentimiento expreso porque el tratamiento es necesario para el cumplimiento de obligaciones por parte del empresario, así como para el cumplimiento del ejercicio de los derechos del responsable del tratamiento. Cierto es que el artículo 13 prevé un deber de información, y este deber se cumple perfectamente al encontrarse la información colgada en el portal del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/51 Empleado (en la política de protección de datos). Ahí verás toda la información relativa al responsable del tratamiento, finalidades de la recogida de los datos, destinatarios, conservación de los datos y el procedimiento para el ejercicio de los derechos. En segundo lugar, comentas que el artículo 64.5.

1. f)os faculta a emitir un informe previo. En este caso, lamento comunicarte que el punto 5 del mencionado artículo, está relacionado con el control de trabajo (en un sentido de contenido). De hecho, el literal del artículo estipula Io siguiente: "la implementación y revisión de sistemas de organización y control de trabajo, estudios de tiempos, establecimientos de primas e incentivos y valoración de puestos de trabajo". En este caso, se trata de un sistema de fichaje mediante huella dactilar, y la licitud de este tratamiento está amparada, no solo por el artículo 6 RGPD 2016/679 UE, sino también por cumplimiento de una obligación legal como es la del registro horario, regulada en el artículo 34.9 del Estatuto de los Trabajadores. Para mayor tranquilidad, comentarte que la huella dactilar, en este caso, no adquiere la categoría de dato especial porque se utiliza únicamente para autentificar que la persona es quien dice ser. Además, no se almacena la huella, sino solo una serie de puntos que, vía algoritmo, provee una firma única para esa huella. Es decir, por si sola no representa la huella dactilar, y se guarda en un sistema centralizado con acceso restringido. Con respecto al motivo de este sistema de fichaje, es el que se está implementando en la mayoría de servicios de CTC, incluidas oficinas centrales. Por último, y si después de esta explicación aún lo consideras necesario, enviaremos los resultados del estudio de la evaluación de impacto (EIPD) que nos solicitabas. […]” Durante las actuaciones se investigó a la siguiente entidad: CTC EXTERNALIZACIÓN, S.L. con NIF B60924131 con domicilio en PLAZA EUROPA, 30 32. - 08902 L'HOSPITALET DE LLOBREGAT (BARCELONA) (en adelante CTC) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Cuestiones generales: 1. Que en caso de que el empleado decline el uso de su huella para el proceso de marcaje o la huella resulte insuficientemente buena, se podrá realizar el marcaje mediante tarjeta RFID. 2. Que el tratamiento de huella dactilar comenzó en la fecha 29/12/2021 y finaliza cuando termine la relación laboral con el empleado. En ese caso, el hash de la huella es eliminado. 3. Que hay 208 lectoras de huellas instaladas en 117 centros de trabajo, todos en España. Respecto a la información sobre protección de datos proporcionada: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/51 4. Aportan capturas de pantalla donde consta que el documento con nombre “POL RGPD CTC EXTER_2021.pdf” fue publicado con fecha 28/10/2021 asociado a un “cluster_id” = 66 que, según manifiestan, hace referencia a los empleados a los que se les publica el documento. 5. Aportan captura de pantalla de sus sistemas donde consta “cluster_id” = 66 asociado al campo “description”=”Empleados sociedad CTC”. 6. Aportan copia de email enviado a ctc@grupoctc.com en fecha 28/10/2021 con asunto “Actualización Políticas de protección de datos CTC EXTERNALIZACIÓN S.L.U.” donde consta: “[…] Por medio de la presente comunicación queremos informar que CTC EXTERNALIZACIÓN S.L.U., en su obligación de cumplimiento normativo, ha procedido a la actualización de sus Políticas de protección de datos respecto al tratamiento de los datos de carácter personal. Pueden acceder a través del Portal del Empleado, a la publicación de las nuevas políticas: POL/RGPD CTC EXTER_2021: Cláusula Protección de datos de Empleados Debe leer atentamente las presentes cláusulas y pulsar su aceptación. En caso de cualquier duda puede contactar con el Departamento de Protección de Datos, a través del correo electrónico: dpo@grupoctc.com […]” 7. Se aporta la cláusula informativa referida anteriormente donde consta como Fecha: 02/03/2018, fecha de Actualización: 26/10/2021 y el código “POL/RGPD CTC EXTER_2021”. Asimismo, consta información sobre: a. El marco legal b. El responsable del tratamiento c. La legitimación, siendo ésta la relación contractual laboral. d. Finalidades del tratamiento, siendo éstas, gestionar la relación laboral con los empleados, gestión contable administrativa, confección de nóminas, prevención de riesgos laborales, formación. Se informa de que está instalado un lector de huellas dactilar para acceso a oficinas. e. Destinatarios, donde consta: “Los datos se comunicarán a las Administraciones públicas (Seguridad Social y Agencia Tributaria) en cumplimiento de la normativa laboral, mutuas laborales, a la empresa de asesoría laboral, a empresas de formación y a entidades bancarias para la domiciliación y pago de nóminas. También entre empresas del Grupo, a empresas Clientes a las que prestamos nuestros servicios, así como a Proveedores que actúan como encargados del tratamiento y con quien se tienen debidamente firmados contratos de protección de datos. En el caso de subcontrataciones, el trabajador autoriza a ceder los datos incluidos en los TC's, a todas aquellas empresas que sean necesarias para llevar a cabo la subcontratación. Si la tarea del Empleado implica la conducción de vehículos, se cederán los datos del Empleado a la empresa de alquiler de vehículos, así como a la Administración en el caso de multa por infracción de tráfico.” f. Deber de confidencialidad del empleado. g. Conservación de los datos, donde consta: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/51 “Los datos proporcionados se conservarán mientras dure la relación contractual y durante los años necesarios para cumplir con las obligaciones legales. Se recuerda que el uso de la cuenta de correo electrónico facilitada por la empresa, es estrictamente y está limitado para fines profesionales y no para temas personales. El Empleado se compromete a la utilización del correo electrónico y de Internet sólo para temas profesionales de carácter laboral, reconociendo expresamente que la cuenta de correo electrónico es dominio de la empresa. También se informa que la empresa, en el caso de extinción laboral, tendrá acceso al correo corporativo y equipo utilizado por el Exempleado.” h. Derechos. En ese documento “POL/RGPD CTC EXTER_2021” consta exclusivamente la siguiente referencia específica al tratamiento de huellas dactilares: “[…] Está instalado un lector de huella dactilar para acceso a oficinas. […]” 8. Se aportan capturas de pantalla de sus sistemas donde consta que el reclamante ha accedido a (…)” en fechas entre 23/08/2021 y el 16/12/2021. Consta asimismo que el reclamante ha ejecutado la acción “sign” respecto del objeto “POL06 2018 CLAUSULA PROTECCION DATOS” en fecha 23/08/2021 10:20. Consta asimismo que existe un “agreement_date” relacionado con el reclamante y el documento “POL06_2018_CLAUSULA.pdf” en fecha 23/08/2021 10:20:16. Consta que la última “agreement_date” asociada al reclamante fue en fecha 23/08/2021. 9. Se aporta captura de pantalla del portal del empleado donde consta la “Cláusula informativa uso huella dactilar para control de la jornada laboral” y “Cláusula Protección de datos de Empleados”. Que consta un botón a la derecha de cada documento con el texto “Recibida” que mediante su pulsación queda marcado el documento como “Recibido”. 10. Que tras recibir el traslado de la reclamación por parte de la AEPD publicaron la cláusula más detallada “Cláusula informativa uso huella dactilar para control de la jornada laboral”, la cual se envió por correo electrónico. Aporta correo electrónico enviado en fecha 22/03/2022 con esta cláusula informativa. En dicha cláusula informativa consta información específica sobre el tratamiento de huella dactilar con los apartados de responsable, legitimación, finalidad, destinatarios, plazo de conservación, derechos y medidas de seguridad. Que consta en esta información proporcionada “Se trata de un sistema de autenticación/verificación no de identificación.” En relación a las características técnicas del sistema y a los contratos: 11. Que se utiliza un único servidor Windows Server 2016 como máquina virtual gestionada por CTC. (…). Que el servidor está ubicado en España. Aporta copia de contrato de encargo firmado y fechado a 27/01/2023 entre CTC e ***EMPRESA.1) siendo éste el encargado del tratamiento. En dicho contrato consta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/51 que CTC ha contratado con ***EMPRESA.1 el servicio de implantación y mantenimiento del sistema de control de acceso y control de jornada laboral mediante huella dactilar. Consta asimismo otro contrato fechado a 29/09/2020 y firmado entre CTC e ***EMPRESA.1 como proveedor de software de control y acceso y presencia (…). Aporta contrato con el proveedor de hosting ***EMPRESA.2. donde consta fecha 27/11/2019. No consta el objeto del contrato ni consta aportado el contrato completo. Consta en el apartado “12 Datos de carácter personal” en el subapartado “5) Tratamiento de datos responsabilidad del Cliente, ***EMPRESA.2 como encargado del tratamiento” que: “5) Tratamiento de datos responsabilidad del Cliente. ***EMPRESA.2 como encargado del tratamiento Únicamente en el supuesto que ***EMPRESA.2 tuviera acceso a datos de carácter personal responsabilidad del Cliente, y la prestación de los servicios contratados implique un tratamiento de datos personales por cuenta de un responsable del tratamiento, ya sea el Cliente o un tercero que contrata los servicios del Cliente directa o indirectamente, ***EMPRESA.2 será considerado, "encargado del tratamiento" comprometiéndose a cumplir las obligaciones que le correspondan en función de la naturaleza y alcance de los servicios contratados y en virtud de Io establecido en la normativa vigente en materia de protección de datos, nacional o supranacional. […]” 12. Que las lectoras de huellas son (…). Aporta documento de especificaciones técnicas de la lectora donde consta que soporta (…). 13. Que el lector de huella es un dispositivo que se ubica en una zona accesible y de paso en el cual los empleados registran los diferentes marcajes a lo largo de la jornada laboral. Que para ello pueden utilizar su huella dactilar y el sistema calcula el hash que se comparará con el registrado en el momento de su activación en el sistema (registro del hash inicial de la huella y asociación al empleado). 14. Que el sistema está configurado para realizar una comparación de huellas 1:N. Que (…) calcula el template y lo compara con los que tiene almacenados. Que si existe correspondencia con algún patrón almacenado da por buena la lectura. Aporta un diagrama donde consta que tras detectar el dedo en el sensor y calcular el patrón, existe el proceso de “Comparar con los patrones almacenados”. 15. Que el template se genera en el módulo biométrico por lo que la imagen de la huella no se almacena ni se propaga a otros sistemas. Que en ningún momento se guarda la huella dactilar del empleado. Que la respuesta obtenida por el módulo es el template. Que la plantilla biométrica es según (…). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/51 16. Que el template se registra en la base de datos. Que se envía una señal para propagar el template solo a los dispositivos donde el empleado realiza su jornada laboral. 17. Que en relación a cómo se garantiza que la huella dactilar captada se borra al finalizar el proceso de captación, manifiesta lo siguiente: “En ningún caso se guarda la imagen de la huella dactilar ya que no se obtiene, la respuesta obtenida por el módulo es el template. Todos estos procedimientos y criterios están basados en la especifica la norma (...).” No se aporta el estándar (...). 18. Que en respuesta a la información requerida sobre la descripción detallada paso a paso del proceso completo seguido por un empleado para acceder a su centro de trabajo y fichar el inicio de la jornada laboral usando los dispositivos lectores de huella dactilar y, en su caso, sin utilizarlos, CTC manifiesta: “El lector de huella es un dispositivo que se ubica en una zona accesible y de paso en el cual los empleados registran los diferentes marcajes a lo largo de la jornada laboral, para ello pueden utilizar su huella dactilar y el sistema calcula el hash que se comparará con el registrado en el momento de su activación en el sistema (registro del hash inicial de la huella y asociación al empleado). Una vez el sistema reconoce el hash se presenta opción de tipo de marcaje, ej: entrada, salida o pausa, los marcajes son sincronizados con el servidor central a través de una red privada. No se recoge ninguna información más. El empleado puede necesitar otras vías para el uso del dispositivo (ej. lectura de huella insuficientemente buena) o declinar el uso de su huella para el proceso de marcaje, en ambos casos podrás realizarlo mediante tarjeta RFID.” En relación al contenido de la base de datos: 19. Aporta extracción de su base de datos donde constan, para 100 registros, los datos (…). Se comprueba que el “código” está compuesto de números y letra. (…). En la extracción de estos datos consta que el hash de la huella se encuentra en una tabla diferente a la tabla donde se encuentran los datos identificativos de los empleados. Sin embargo, no se ha podido constatar las posibles medidas de seguridad que pudieran estar implantadas para separar el acceso a ambas tablas. 20. Aporta captura de pantalla de sus sistemas donde constan un total de ***CANTIDAD.1 huellas dactilares de empleados almacenadas. 21. Aporta un extracto de la base de datos con todos los usuarios dados de baja del sistema con ***CANTIDAD.2 así como otro extracto con las fechas de borrado de cada huella con ***CANTIDAD.3. Se comprueba que la tabla de bajas de empleados tiene el campo ID extraído del campo usuario.id y la tabla de borrado de huellas tiene el campo USER_ID. Se comprueba que buscando coincidencias por los campos ID y USER_ID, para C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/51 ***CANTIDAD.4 empleados coincide exactamente la fecha de baja con la fecha de borrado de huella. Se comprueba asimismo que existen borrados de huella anteriores a la fecha 29/12/2021. En total son ***CANTIDAD.5 borrados de huella anteriores al 29/12/2021: Finalmente se comprueba que el primer borrado de huella ocurre en la fecha 25/03/2020 22. Que en relación al borrado de huellas manifiesta que las plantillas biométricas se eliminan completamente del sistema en un proceso automático de sincronización de empleados (4 veces al día). Que al tratarse de un proceso automático se garantiza que se cumple el objetivo de eliminación del dato. En relación a la evaluación de impacto: 23. Que justifican el cumplimiento con la minimización de datos, así como el análisis de necesidad y proporcionalidad y el proceso seguido para garantizar que los datos recabados no se usen para otra finalidad, manifestando lo siguiente: “Justificamos la aplicación del principio de minimización, en el sentido de que en cada una de las operaciones que constituyen el tratamiento, los datos y operaciones son las mínimas y necesarias para abordar los fines del tratamiento. Para realizar las consultas de fichaje, es necesario tener el hash de la huella dactilar asociado al código y por relación al nombre y apellido del Empleado, en caso contrario, no hay manera de saber a quién corresponde la jornada laboral. Por otra parte, y en relación a la finalidad de control de acceso asociada a temas de prevención de riesgos laborales, en caso de una emergencia (P.E. incendio, ...) es necesario saber qué personas se encuentran dentro de la instalación. Respecto a la ponderación de la proporcionalidad del tratamiento, atendiendo a los siguientes criterios: Juicio de idoneidad: para conseguir el objetivo de control de acceso y de la jornada laboral, el sistema a través del hash de la huella dactilar, nos ha resultado el adecuado para el fin que se persigue. El umbral de efectividad que se debería alcanzar para cumplir con los fines del tratamiento, debe ser prácticamente del 100%, se trata del cumplimiento de una obligación legal y de garantizar la seguridad en el ámbito laboral. La eficacia de este sistema, consideramos que nos ayuda a alcanzar este umbral. Juicio de necesidad: El correcto control de la jornada laboral, así como el control de acceso al servicio, es relevante y para alcanzar la finalidad perseguida, este sistema nos ofrece una mayor fiabilidad respecto a otros. Se habían utilizado otros sistemas, p.e el fichaje con tarjeta, pero tras la experiencia con el mismo, no nos proporcionaba la suficiente eficacia para el objetivo perseguido. Utilizando el sistema de tarjeta para el fichaje, experimentamos que, en determinadas ocasiones, se cedía la tarjeta a otra persona que no era la titular de la misma, con todos los riesgos que suponen para la seguridad laboral y la inexactitud del registro de jornada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/51 Consideramos que no existe un tratamiento alternativo que sea igualmente eficaz para el logro de la finalidad perseguida, atendiendo a facilitar al máximo el uso del sistema al empleado, veracidad de los registros y seguridad laboral Juicio de proporcionalidad en sentido estricto: Cuando realizamos la valoración inicial de implementar este sistema, consideramos que la gravedad del riesgo para los derechos y libertades de los empleados y la intromisión en su privacidad, era nula. No se almacenan las huellas dactilares de los Empleados tampoco pueden reproducirse las mismas desde los hash. Por otra parte, ponderando el beneficio del social para los Empleados, valoramos que resultaba más positivo y cómodo para ellos, evitando situaciones p.e. en que se extravía la tarjeta, o la olvidan en el vehículo... , produciendo retrasos en los fichajes que a quién más perjudica es a los propios interesados. Respecto a la Caducidad: el tratamiento desaparece, en el momento en que se suspende la relación laboral con el Empleado. Los hashes son eliminados. Respecto al uso para otras finalidades: La única función que permite el sistema con el uso de la huella es el registro de marcaje y/o acceso al centro, no habilita ningún otro acceso a datos del empleado, ni se utiliza como parte de identificación para otros sistemas o funcionalidades.” En relación al acceso a las lectoras, servidor de la aplicación y servidor de bases de datos y a la seguridad en general: 24. Que a las lectoras no se puede acceder directamente sino a través de la aplicación o bien accediendo a la web embebida en el dispositivo, con unas únicas credenciales de administración. Que no se puede acceder a las lectoras desde ningún otro punto de la red que no sea desde el servidor, ya que tienen implantadas restricciones de red. 25. Que el servidor de la aplicación está aislado del dominio. Que solo dispone de 3 usuarios de acceso; “CLI.gruntc”, “CLI.***EMPRESA.1”, “PRV.gruntc”. Aporta logs de acceso a dicho servidor donde constan autenticación exitosa exclusivamente dos de esos usuarios. 26. Aporta logs de acceso al servidor de base de datos donde constan que acceden usuarios “Account Name” de los que no se han aportado datos, como “DWM12”, “SRVINTEMO$” o “-“. 27. Aporta logs de acceso a la aplicación que controla el sistema así como los usuarios con permisos de acceso a esta aplicación y los usuario eliminados. En estos listados constan accesos a la aplicación de los usuarios “CTT”, “CTT Valencia”, “Gestamp”, “...”, “Makro” los cuales no constan en el listado de usuarios con permiso de acceso a la aplicación ni tampoco constan en el listado de usuarios eliminados. 28. Aporta documentos de Procedimiento de acceso a servidores y aplicaciones, así como Procedimiento de altas y bajas de usuarios de sistemas. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/51 29. Que en contestación al requerimiento de justificación de por qué no puede prescindir de la asociación directa entre el hash de la huella dactilar y el nombre y apellidos, manifiestan: “El hash de la huella se relaciona con un código de empleado que podría ser suficiente para completar el registro de jornada, pero claramente insuficiente para poder realizar el seguimiento de los marcajes en tiempo real por parte de los responsables del centro. Igualmente, no permitiría tener control sobre la localización de las personas (dentro-fuera) a efectos de prevención de riesgos laborales. Cabe destacar que el módulo del dispositivo, al comparar el hash en tiempo real, lo que retorna es el código. Y es a partir de éste, donde se realizan todas las funcionalidades, el hash no vuelve a intervenir de ninguna manera en el proceso.” 30. Que en contestación a que acredite cómo evita que los datos de huellas sean reutilizados para otros fines o por otros responsables, manifiesta: “Los dispositivos biométricos están inventariados con sus datos correspondientes a instalación, ubicación, así como su estado. Dispositivos retirados por cierre son recuperados, eliminado el contenido y almacenados para posterior uso. Los datos biométricos no tienen ningún sentido en la instalación, no aportan información interpretable ni relevante. El uso de los datos biométricos también está totalmente descartado en cualquier otro uso, su uso como identificación no nos aporta valor más allá de la recogida de los marcajes de una forma ágil, fácil para el empleado y que permita evitar marcajes fraudulentos. El hardware es dedicado y tampoco se le puede dar un uso diferente al que el fabricante diseñó.” CONCLUSIONES INVESTIGACIÓN DEL INFORME DE ACTUACIONES PREVIAS DE 1. Hay claros indicios de que el usuario accedió a una Url que podría ser la del portal del empleado, pero no consta tal evidencia. Sí consta que el reclamante aceptó el documento de información sobre protección de datos, pero lo hizo en fecha anterior a la última actualización del documento informativo. En esta última actualización del documento consta información específica al tratamiento de huella, aunque solo haciendo mención a dicho tratamiento con una frase. 2. Consta un email enviado en octubre 2021 a la organización con la actualización del documento de información en protección de datos. 3. Consta otro email enviado, aunque ya en marzo 2022, con información más específica del tratamiento de huellas. 4. En relación al funcionamiento del sistema, éste funciona con una comparación de huellas 1:N, sin embargo en la información de protección de datos proporcionada consta que se trata de un sistema de autenticación, no de identificación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/51 5. En relación al borrado de huellas, constan hash de huellas borradas con fecha anterior al primer envío de información sobre protección de datos con información del tratamiento de huellas y anterior también a la fecha en la que manifiestan que comenzó el tratamiento. 6. En relación a la seguridad del sistema: a. Constan almacenados y relacionados los datos identificativos del empleado y su hash de huella. No se le ha llegado a requerir a CTC la justificación de las medidas de seguridad implantadas para impedir una eventual asociación no deseada de estos datos, aunque sí se le ha requerido justificación de por qué necesitan la asociación directa entre los datos identificativos y el hash de huella cuya contestación parece insuficiente. b. En la información aportada por CTC se constata el acceso de algunos usuarios que no constan en los listados de usuarios con privilegios de acceso facilitados, tanto a la aplicación como al servidor de base de datos. c. CTC no ha acreditado cómo queda garantizado el borrado de la huella tras su captura. QUINTO: Con fecha 12 de mayo de 2023, la Directora de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a la parte reclamada, por la presunta infracción del Artículo 35 del RGPD, Artículo 32 del RGPD y Artículo 13 del RGPD, tipificadas en los Artículos 83.5 del RGPD y Artículo 83.4 del RGPD. SEXTO: Notificado el citado acuerdo de inicio conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifiesta lo siguiente: En relación con la imputación del artículo 13 del RGPD por la falta de información a los trabajadores en relación con la puesta en marcha de un sistema de fichaje mediante el tratamiento de datos biométricos, la parte reclamada se limita a reafirmar argumentos ya expuestos en la fase de actuaciones previas de investigación: (haber corregido la cláusula informativa; la parte reclamante habría accedido al contenido informativo de la cláusula; la adopción de medidas informativas adicionales y posteriores; y la existencia de sistemas alternativos a la huella dactilar para el fichaje En relación con la vulneración del artículo 32 alega que la huella dactilar no se almacena. Lo que hace el sistema es convertir la huella en un identificador numérico; y que ya se habría acreditado que los usuarios que no deberían acceder a los datos se encontraban dados de baja, sin que pudieran tener acceso a la aplicación. Finalmente, nada se alegó en relación con el incumplimiento del artículo 35 del RGPD, relativo a la ausencia de una verdadera evaluación de impacto. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/51 SÉPTIMO: Con fecha 2 de noviembre de 2023 se formuló propuesta de resolución, proponiendo “PRIMERO Que por la Directora de la Agencia Española de Protección de Datos se sancione a CTC EXTERNALIZACIÓN, S.L., con NIF B60924131, Por una infracción del Artículo 13 del RGPD, tipificada en el Artículo 83.5 del RGPD, con una multa de 200.000€ (DOSCIENTOS MIL EUROS). Por una infracción del artículo 32 del RGPD, tipificada en el Artículo 83.4 del RGPD con una multa de 100.000€ (CIEN MIL EUROS). Por una infracción del artículo 35 del RGPD, tipificada en el Artículo 83.4 del RGPD, con una multa de 100.000,00 € (CIEN MIL EUROS) SEGUNDO Que por la Directora de la Agencia Española de Protección de Datos se ordene a CTC EXTERNALIZACIÓN, S.L., con NIF B60924131, que en virtud del artículo 58.2.
2. d)del RGPD, en el plazo de 6 meses, acredite haber procedido al cumplimiento de las siguientes medidas: Informar a todos los trabajadores de manera adecuada, incluyendo todos los extremos que no se han incluido hasta ahora, conforme a lo detallado en los fundamentos de derecho de esta propuesta Establecer las medidas de seguridad necesarias para evitar el acceso por personal no expresamente autorizado, así como para garantizar el borrado de la huella tras su captura. También para separar el acceso a las tablas que contienen el hash de las huellas y los datos identificativos de los trabajadores. Elaborar una evaluación de impacto de protección de datos que contenga todos los extremos previstos en el artículo 35 del RGPD, en particular teniendo en cuenta los defectos señalados en esta propuesta. “ OCTAVO: Notificada la citada propuesta de resolución conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), la parte reclamada presentó escrito de alegaciones en el que, en síntesis, manifiesta lo siguiente: En relación con la imputación del artículo 13 RGPD: a este respecto, el reclamado se limita a reiterar alegaciones ya presentadas al acuerdo de inicio: - Reitera que CTC efectuó correcciones a la versión inicial de la cláusula de protección de datos (fecha octubre 2021) para una adecuada información a los trabajadores. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/51 - En caso de haberse ocasionado algún perjuicio, el derecho de los posibles afectados habría quedado plenamente garantizado mediante la aplicación de las medidas posteriores informativas adoptadas por CTC La información sobre el tratamiento del dato personal relativo a la huella dactilar de los empleados de CTC habría estado disponible con carácter previo a la puesta en funcionamiento, que se produjo en diciembre de 2021. CTC estableció un cartel informativo junto a los dispositivos de fichaje y también envió un e-mail informativo. En todo caso no habría habido una falta total de información, sino aspectos que necesitarían aclaración En relación con la imputación del artículo 32 RGPD: - También reitera lo ya alegado en fase de instrucción, acerca de haber identificado a las empresas intervinientes en el establecimiento del sistema y haber aportado documentos sobre la tecnología utilizada Indica que en su momento se aportó una declaración responsable de la empresa INTEMO acreditativa del hecho de que no se almacena la huella dactilar Como novedad respecto a anteriores alegaciones, CTC aportan un informe sobre registros de usuarios en el sistema. El acceso al sistema, afirma, solo se llevaría a cabo por “usuarios técnicos con finalidad de controlar” el sistema En relación con la imputación del artículo 35 RGPD - CTC reproduce lo que considera que es el reproche que en el expediente se le dirige, que sería únicamente, a su juicio, que el documento de evaluación de impacto aportado por el reclamado no constituiría una “evaluación de impacto” en los términos del RGPD, al adolecer de defectos sustanciales como no determinarse la finalidad del tratamiento o no contener un juicio acerca de la necesidad y proporcionalidad del sistema. - Invoca diversos precedentes de resoluciones de esta AEPD: o o o - E/00793/2016: el reclamado interpreta esta resolución en el sentido de que, si se ha informado a los trabajadores sobre la implantación del sistema, la AEPD no entraría a evaluar la idoneidad del mismo. E/10900/2019: conforme a esta resolución, el sistema biométrico de acceso puede implantarse si hay una base jurídica, aun sin consentimiento trabajadores E/03925/2020. La AEPD, a juicio del reclamado, estaría dando por bueno un supuesto “similar” en que no existiría Evaluación de impacto. En relación con el principio de proporcionalidad, alega que en el expediente anterior PS/00050/2021 se impuso una multa de 20.000€ por la infracción de carencia de evaluación de impacto, mientras que en este caso se estaría sancionando con 100.000€. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/51 De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS PRIMERO. A.A.A. (en adelante, la parte reclamante) con fecha 14 de febrero de 2022 presentó reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CTC EXTERNALIZACIÓN, S.L. con NIF B60924131. Los motivos en que basa la reclamación son los siguientes: Se reclama que en la entidad CTC EXTERNALIZACIÓN, S.L. se han solicitado datos biométricos, la huella dactilar, a los empleados con la finalidad de implantar un sistema de fichaje basado en ese dato. Se expone que en el momento de tomar los datos biométricos no se comunicó que la información se encontraba en el portal del empleado, localizada en la parte más recóndita de la aplicación a la que no tienen acceso todos los trabajadores que emplean el nuevo sistema de fichaje. SEGUNDO. Se envió un email enviado a ctc@grupoctc.com en fecha 28/10/2021 con asunto “Actualización Políticas de protección de datos CTC EXTERNALIZACIÓN S.L.U.” donde consta: “[…] Por medio de la presente comunicación queremos informar que CTC EXTERNALIZACIÓN S.L.U., en su obligación de cumplimiento normativo, ha procedido a la actualización de sus Políticas de protección de datos respecto al tratamiento de los datos de carácter personal. Pueden acceder a través del Portal del Empleado, a la publicación de las nuevas políticas: POL/RGPD CTC EXTER_2021: Cláusula Protección de datos de Empleados Debe leer atentamente las presentes cláusulas y pulsar su aceptación. En caso de cualquier duda puede contactar con el Departamento de Protección de Datos, a través del correo electrónico: dpo@grupoctc.com […]” TERCERO. Por parte de CTC se aporta cláusula informativa donde consta como Fecha: 02/03/2018, fecha de Actualización: 26/10/2021 y el código “POL/RGPD CTC EXTER_2021”. En ese documento consta exclusivamente la siguiente referencia específica al tratamiento de huellas dactilares: “[…] Está instalado un lector de huella dactilar para acceso a oficinas. […]” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/51 CUARTO. Constan capturas de pantalla de los sistemas de CTC donde consta que el reclamante ha accedido a una aplicación codificada como “com.ctc.portal[…]” en fechas entre 23/08/2021 y el 16/12/2021. Consta asimismo que el reclamante ha ejecutado la acción “sign” respecto del objeto “POL06 2018 CLAUSULA PROTECCION DATOS” en fecha 23/08/2021 10:20. Consta asimismo que existe un “agreement_date” relacionado con el reclamante y el documento “POL06_2018_CLAUSULA.pdf” en fecha 23/08/2021 10:20:16. Consta que la última “agreement_date” asociada al reclamante fue en fecha 23/08/2021. QUINTO. Tras recibir el traslado de la reclamación por parte de la AEPD, CTC publicó una cláusula informativa más detallada “Cláusula informativa uso huella dactilar para control de la jornada laboral”, la cual se envió por correo electrónico. Aporta correo electrónico enviado en fecha 22/03/2022 con esta cláusula informativa. En dicha cláusula informativa consta información específica sobre el tratamiento de huella dactilar con los apartados de responsable, legitimación, finalidad, destinatarios, plazo de conservación, derechos y medidas de seguridad. Que consta en esta información proporcionada “Se trata de un sistema de autenticación/verificación no de identificación.” SEXTO. El lector de huella es un dispositivo que se ubica en una zona accesible y de paso en el cual los empleados registran los diferentes marcajes a lo largo de la jornada laboral. Para ello pueden utilizar su huella dactilar y el sistema calcula el hash que se comparará con el registrado en el momento de su activación en el sistema (registro del hash inicial de la huella y asociación al empleado). El sistema está configurado para realizar una comparación de huellas 1:N. Dispone del módulo biométrico CBM que calcula el template y lo compara con los que tiene almacenados. En caso de existir correspondencia con algún patrón almacenado da por buena la lectura. SÉPTIMO. La parte reclamada aporta extracción de su base de datos donde constan, para 100 registros, los datos de nombre, apellidos, id de usuario, código, fecha de alta, fecha de baja, hash de la huella dactilar. Se comprueba que el “código” está compuesto de números y letra. Se comprueba que la letra cumple la regla (…). En la extracción de estos datos consta que el hash de la huella se encuentra en una tabla diferente a la tabla donde se encuentran los datos identificativos de los empleados. Sin embargo, no se ha podido constatar las posibles medidas de seguridad que pudieran estar implantadas para separar el acceso a ambas tablas. OCTAVO. En los sistemas de CTC constan un total de ***CANTIDAD.1 huellas dactilares de empleados almacenadas. CTC aporta un extracto de la base de datos con todos los usuaC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/51 rios dados de baja del sistema con ***CANTIDAD.2 así como otro extracto con las fechas de borrado de cada huella con ***CANTIDAD.3. Se comprueba que la tabla de bajas de empleados tiene el campo ID extraído del campo usuario.id y la tabla de borrado de huellas tiene el campo USER_ID. Se comprueba que buscando coincidencias por los campos ID y USER_ID, para ***CANTIDAD.4 empleados coincide exactamente la fecha de baja con la fecha de borrado de huella. Se comprueba asimismo que existen borrados de huella anteriores a la fecha 29/12/2021. En total son ***CANTIDAD.5 borrados de huella anteriores al 29/12/2021.Finalmente se comprueba que el primer borrado de huella ocurre en la fecha 25/03/2020 NOVENO. A las lectoras no se puede acceder directamente sino a través de la aplicación o bien accediendo a la web embebida en el dispositivo, con unas únicas credenciales de administración. No se puede acceder a las lectoras desde ningún otro punto de la red que no sea desde el servidor, ya que tienen implantadas restricciones de red. DÉCIMO. EL servidor de la aplicación está aislado del dominio, y solo dispone de 3 usuarios de acceso; “CLI.gruntc”, “CLI.***EMPRESA.1”, “PRV.gruntc”.v CTC aporta logs de acceso a dicho servidor donde constan autenticación exitosa exclusivamente dos de esos usuarios. DÉCIMOPRIMERO. El documento de evaluación de impacto aportado por CTC contiene lo siguiente: “Justificamos la aplicación del principio de minimización, en el sentido de que en cada una de las operaciones que constituyen el tratamiento, los datos y operaciones son las mínimas y necesarias para abordar los fines del tratamiento. Para realizar las consultas de fichaje, es necesario tener el hash de la huella dactilar asociado al código y por relación al nombre y apellido del Empleado, en caso contrario, no hay manera de saber a quién corresponde la jornada laboral. Por otra parte, y en relación a la finalidad de control de acceso asociada a temas de prevención de riesgos laborales, en caso de una emergencia (P.E. incendio, ...) es necesario saber qué personas se encuentran dentro de la instalación. Respecto a la ponderación de la proporcionalidad del tratamiento, atendiendo a los siguientes criterios: Juicio de idoneidad: para conseguir el objetivo de control de acceso y de la jornada laboral, el sistema a través del hash de la huella dactilar, nos ha resultado el adecuado para el fin que se persigue. El umbral de efectividad que se debería alcanzar para cumplir con los fines del tratamiento, debe ser prácticamente del 100%, se trata del cumplimiento de una obligación legal y de garantizar la seguridad en el ámbito laboral. La eficacia de este sistema, consideramos que nos ayuda a alcanzar este umbral. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/51 Juicio de necesidad: El correcto control de la jornada laboral, así como el control de acceso al servicio, es relevante y para alcanzar la finalidad perseguida, este sistema nos ofrece una mayor fiabilidad respecto a otros. Se habían utilizado otros sistemas, p.e el fichaje con tarjeta, pero tras la experiencia con el mismo, no nos proporcionaba la suficiente eficacia para el objetivo perseguido. Utilizando el sistema de tarjeta para el fichaje, experimentamos que, en determinadas ocasiones, se cedía la tarjeta a otra persona que no era la titular de la misma, con todos los riesgos que suponen para la seguridad laboral y la inexactitud del registro de jornada. Consideramos que no existe un tratamiento alternativo que sea igualmente eficaz para el logro de la finalidad perseguida, atendiendo a facilitar al máximo el uso del sistema al empleado, veracidad de los registros y seguridad laboral Juicio de proporcionalidad en sentido estricto: Cuando realizamos la valoración inicial de implementar este sistema, consideramos que la gravedad del riesgo para los derechos y libertades de los empleados y la intromisión en su privacidad, era nula. No se almacenan las huellas dactilares de los Empleados tampoco pueden reproducirse las mismas desde los hash. Por otra parte, ponderando el beneficio del social para los Empleados, valoramos que resultaba más positivo y cómodo para ellos, evitando situaciones p.e. en que se extravía la tarjeta, o la olvidan en el vehículo... , produciendo retrasos en los fichajes que a quién más perjudica es a los propios interesados. Respecto a la Caducidad: el tratamiento desaparece, en el momento en que se suspende la relación laboral con el Empleado. Los hashes son eliminados. Respecto al uso para otras finalidades: La única función que permite el sistema con el uso de la huella es el registro de marcaje y/o acceso al centro, no habilita ningún otro acceso a datos del empleado, ni se utiliza como parte de identificación para otros sistemas o funcionalidades.” FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/51 II Cuestiones previas En el presente caso, de acuerdo con lo establecido en el artículo 4.1 del RGPD, consta la realización de un tratamiento de datos personales, toda vez que CTC EXTERNALIZACIÓN, S.L. realiza esta actividad en su condición de responsable del tratamiento, dado que es quien determina los fines y medios de tal actividad, en virtud del artículo 4.7 del RGPD: «Responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina. Conforme a los datos obtenidos en AXESOR, el volumen de negocio de la parte reclamada para el ejercicio de 2020 fue (…). Adicionalmente el artículo 4.2 del Reglamento define el “tratamiento” de datos personales como “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción” A este respecto conviene referirse a la distinción que realiza el interesado en sus alegaciones acerca de la diferencia entre “identificación” y “autenticación” en relación con el tratamiento de datos biométricos. Afirma que no se estaría utilizando un sistema de “identificación” (es decir, uno que determinara la identidad del sujeto partiendo de su huella), sino de “autenticación” (esto es, uno que verifica que la huella dactilar se corresponde con la previamente aportada). A este respecto deben significarse dos cosas. En primer, lugar, que resulta más que dudoso que el sistema utilizado en este caso se trate de uno de “autenticación”. Los lectores de huella dactilar instalados no comparan la huella del sujeto con algún documento o soporte que el mismo utilice en el momento de fichar, sino que lo que hace es comparar dicha huella, leída en el momento del fichaje, con el total de huellas previamente registradas por los trabajadores. Con ello, la comparación es 1:N. Pero, lo más importante es que ya desde las Directrices 05/2022, del CEPD, sobre Tecnologías de Reconocimiento facial, se deja claro que ambos sistemas (identificación y autenticación) constituyen un tratamiento de categorías especiales de datos personales. En efecto, el epígrafe 12 de las Directrices establecen lo siguiente: