PS-00218-2021

1/40  Expediente N.º: PS/00218/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: RECLAMANTE (figura en ANEXO GENERAL) (en adelante, la parte reclamante), con fecha 22/06/2020, presenta reclamación ante la AEPD. La reclamación se dirige contra ENTIDAD URBANÍSTICA COLABORADORA DE CONSERVACIÓN EUROVILLAS, con NIF G79414033, en calle ***DIRECCIÓN.1, Madrid (en adelante, la parte reclamada). Los motivos en que basa la reclamación son que la reclamada instauró un sistema de registro diario de jornada laboral de los empleados a través de técnica de reconocimiento facial (RF). Manifiesta: -El 13/02/2020, la reclamada instaló en los lugares de trabajo un sistema de registro horario “por huella dactilar”, modificando el previo de uso de tarjeta. La representación de los empleados envió un escrito el 17/02/2020, del que acompaña copia como DOCUMENTO 1, firmado por la reclamante y otros dos empleados, como “Delegados XXXXXXXXXX”, en el que mencionan que no se da en su totalidad el cumplimiento del artículo 9.2.

1. b)del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD); y que se ha tomado la medida sin haber comunicado ni negociado con los representantes de los trabajadores, solicitando que se cambie a otros sistemas. -Con fecha 17/02/2020, la reclamada hizo entrega en mano de una comunicación del sistema implantado de “reconocimiento táctil”, con indicación de puesta en marcha el 1/03/2020. -En escrito de la reclamada de la misma fecha, 17/02/2020, contestó al de la reclamante de 17/02 indicando que “ no existe obligación de obtener el consentimiento dado que el sistema de fichaje implantado persigue unos intereses legítimos por parte de la empresa”, “dado que la legislación laboral obliga a registrar el número de horas que realizan los trabajadore s”, y que “el uso de las tarjetas que se venia utilizando provocaba fraudes en la gestión y por tanto no eran medios adecuados a la finalidad perseguida”. Acompaña DOCUMENTO 3 con el recibí, que verifica estas afirmaciones. -Se dirigió escrito por la reclamante a la reclamada el 11/03/2020, solicitando: “Características del tratamiento, forma de almacenamiento y responsable de la custodia, forma en que van a estar disponibles los registros de jornada, tanto para trabajadores como para sus representantes.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/40 Acompaña DOCUMENTO 4 que contiene la respuesta de 12/03/2020, indicando que la responsable de los datos es la persona nombrada por la empresa para tratar los datos de los trabajadores y que debido a la situación creada por el “coronavirus”, se está valorando el cambiar el sistema de registro de horas actual, “por uno de vectores faciales, en cuyo caso, almacenaría una fotografía, al igual que el sistema que se utilizaba con las tarjetas anteriores”. -Manifiesta la reclamante, que en fecha 30/04/2020, la reclamada comunica un cambio en el sistema de registros horarios originado por la enfermedad COVID-19 y que va a implantarse a partir del 6/05/2020. Consiste en la identificación del personal por datos de su propio rostro, “mediante vectorización facial” ”Este sistema funciona a partir de la identificación de un porcentaje de características extraídas del rostro, sin tomar una imagen en tres dimensiones de las caras “entendemos que esta medida es menos invasiva que la grabación del momento del fichaje por cámara, que además suponía el contacto físico con un lector de tarjeta compartido. El fin único de estos datos es el fichaje de personal y análisis de los tiempos de trabajo para el cumplimiento del decreto ley 8/2019, con objeto de analizar los datos en toma de decisiones y la defensa de sus interese legítimos”. “Estos datos se encontrarán en los servidores de esta entidad, en ningún caso en la nube”. Acompaña DOCUMENTO 6. SEGUNDO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 7/07/2020, se dio traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de: “1.La decisión adoptada a propósito de esta reclamación. 2. Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. 3. Análisis de Riesgos y Estudio de Evaluación de Impacto relativos al tratamiento de datos personales objeto de la reclamación. 4. Base de legitimación de dicho tratamiento y justificación. 5. Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. 6. Cualquier otra que considere relevante.” Con fecha 5/08/2020, se recibe en esta Agencia escrito de respuesta indicando: 1) Es un “ente administrativo” “dependiente de” la Comunidad de Madrid si bien con personalidad jurídica propia y plena capacidad de autonomía para el cumplimiento de sus fines, de conformidad con la ley y los Estatutos, y que fundamentalmente consisten en la conservación de los espacios libres de dominio y uso público, y en su caso de los privados, y el mantenimiento de las dotaciones como instalaciones e infraestructuras de la urbanización. El carácter de “entidad administrativa” se recoge de forma expresa, el artículo 26.1 del Real Decreto 3288/1978, de 25/08, por el que se aprueba el Reglamento de Gestión Urbanística para el desarrollo y aplicación de la Ley sobre Régimen del Suelo y Ordenación Urbana (RGU) “las entidades urbanísticas colaboradoras tendrán carácter administrativo y dependerán en este orden de la administración urbanística actuante”. Aporta copia de sus Estatutos, cuya versión vigente aparece publicada en el BOCM de 29/05/2014. Se consideran de importancia para el caso, las siguientes disposiciones: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/40 “art 1- Se constituye una entidad urbanística colaboradora de naturaleza administrativa con personalidad jurídica propia y plena capacidad legal desde su inscripción en el registro de entidades urbanísticas colaboradoras de la Consejería competente en materia urbanística de la Comunidad de Madrid.” Esta entidad de conservación se constituyó con carácter obligatorio en virtud de las determinaciones del plan especial ciudad de las Américas, hoy Euro Villas, aprobado definitivamente el 23 de marzo de 1988 y estará compuesta por todos los propietarios comprendidos en su ámbito territorial. La entidad de conservación se regirá por lo dispuesto en los presentes estatutos y en lo no previsto por ellos por los artículos 24 a 30 y 68 a 70 del RGU de 25 de agosto de 1978 y demás disposiciones concordantes y complementarias. “Artículo 3, objeto: Esta entidad tiene por objeto la conservación de la obra urbanizada, de los espacios libres de dominio y uso público y, en su caso, de los privados y el mantenimiento de las dotaciones e instalaciones de los servicios urbanísticos e infraestructuras conforme a lo dispuesto en el artículo 32 de estos estatutos.” En el artículo 4 se indican los fines básicamente de ejecución de obras necesarias para la reparación y mantenimiento cuya conservación sea necesaria en cuanto al uso y utilización de los bienes y servicios. En el artículo 5 se establece: “A la Consejería competente en materia urbanística como administración actuante le corresponden las siguientes funciones: aprobar el texto de los estatutos para la constitución de la entidad de conservación, aprobar la constitución de la entidad de conservación para su inscripción en el registro. En el apartado c se indica que sin perjuicio de que la administración actuante sea la Consejería de Obras Públicas y Urbanismo y Transporte, corresponderá a los Ayuntamientos en los que se encuentra ubicada la urbanización, la utilización de la vía de apremio para el cobro de las cantidades adeudadas por cualquiera de los miembros de la Entidad de Conservación. En el apartado
2. d)indica que corresponde a la administración actuante resolver los recursos de alzada contra acuerdos de la entidad, así como acordar la disolución de la entidad en los supuestos contemplados en el artículo 40 de los estatutos y cuantas otras atribuciones resulten de la legislación urbanística y autonómica.” El artículo 19 prevé como facultades y funciones del Consejo Rector, el nombramiento y separación del personal y señalamiento de su régimen de trabajo y la administración de la entidad. 2) La entidad cuenta con equipamientos, maquinaria y personal propio para acometer sus tareas de conservación y mantenimiento de las infraestructuras y el dominio público de la organización. “Agrupa a unos 4.000 propietarios de parcelas sobre las que existen construidas alrededor de unas 3.000 viviendas unifamiliares que son habitadas por una población superior a los 10.000 habitantes.” En la actualidad, la plantilla está formada por 38 trabajadores que prestan sus servicios en algunos casos en régimen de turnos, contándose con servicios de urgencias que cubren una atención de 24 horas al día. La revisión de este personal y la comprobación de su asistencia al puesto de trabajo siempre ha sido objeto de control. “Hace unos años se fichaba”, luego se C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/40 hizo uso de tarjetas individuales, pero al detectarse fraudes con las tarjetas que se dejaban a otros empleados, “se estableció un sistema de fichado” por medio de huella dactilar y posteriormente por los riesgos del COVID-19, se varió el sistema al RF. 3) “El registro de las jornadas de trabajo es obligatorio para la empresa en virtud del artículo 34.9 del Estatuto de los trabajadores”. “Dado el derecho y a la vez la obligación que tiene la Entidad de llevar un control y registro de la jornada de los trabajadores que sea fidedigno, el sistema implantado es efectivo y proporcional, a la vez que el más adecuado para garantizar la salud de los trabajadores, en estos tiempos de pandemia.” “La base de legitimación para el tratamiento de estos datos viene dada por el contrato laboral existente con los usuarios (art. 6.1.b RGPD); la obligación legal de llevar acabo un registro de la jornada laboral de los empleados de la Entidad (art. 6.1.
3. c)y la propia necesidad de la empresa de controlar a los trabajadores (art. 6.1. f), de modo que la propia Entidad pueda prestar las funciones de interés público que tiene encomendadas dado su carácter de administración pública (art. 6. 1.e).” 4) Los sistemas empleados por la entidad en ningún caso conservan imágenes o fotografías de la huella dactilar o rostro de la persona, sino que son sistemas biométricos en los que para su funcionamiento no utilizan imágenes de huellas o rostros, sino meras descripciones de estos que se traducen en las tomas de varias minucias o patrones del dibujo de la huella del rostro. Por tanto, el sistema solo toma unas pocas minucias o características especiales concretas, en general la posición o dimensiones, elementos de la huella o el rostro fundamentalmente, que no permiten reconstruir a partir de ellas la huella ni el rostro de una persona, por lo que consideran que no permiten la identificación inequívoca del sujeto más que dentro de un grupo reducido de personas como es el personal de la entidad. “El sistema está instalado en un ordenador independiente, protegido bajo contraseña, al que solo tiene acceso una persona y que los datos biométricos estadísticos, quedan encriptados, no son extraíbles, ni conocibles, por formar parte del propio programa, sin que se puedan usar para ninguna otra finalidad.” Entiende que está actuando en todo momento conforme a derecho. TERCERO: Con fecha 4/09/2020, la Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la reclamación. CUARTO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de los poderes de investigación otorgados a las autoridades de control en el artículo 58.1 del RGPD, de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Solicitó a la reclamada que aportar el análisis de riesgos, la evaluación de impacto del tratamiento del dato biométrico y características del sistema. Con fecha de 29/10/2020, se respondió, que “ya se contestó sobre esta reclamación en el seno del procedimiento de traslado y admisión de la reclamación.” QUINTO: Con fecha 2/09/2021, se acordó por la Directora de la AEPD: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/40 “INICIAR PROCEDIMIENTO SANCIONADOR a ENTIDAD URBANÍSTICA COLABORADORA DE CONSERVACIÓN EUROVILLAS, con NIF G79414033, por la presunta infracción: -Del artículo 9.2.
4. b)en relación con el 6.1 del RGPD, tipificada en el artículo 83.5.
5. a)del RGPD -Del artículo 35 del RGPD, tipificada en el artículo 83.4.
6. a)del RGPD.” (…) “QUE a los efectos previstos en el art. 64.2
7. b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en lo sucesivo, LPACAP) , las sanciones que pudieran corresponder serían de multas de 100.000 euros, y de 20 mil euros, según lo especificado, sin perjuicio de lo que resulte de la instrucción.” SEXTO: Con fecha 17/09/2021, se reciben alegaciones en las que la reclamada manifiesta: 1- Se considera incluida en el apartado
8. d)del artículo 77.1 de la LOPDGDD como “organismo público y entidad de derecho público vinculada o dependiente de las administraciones públicas”, por lo que procedería en su caso una sanción de apercibimiento. Considera, además, que es indiferente si el ente público está realizando o no una actividad pública, porque la normativa regula la posibilidad de sancionar por lo que se es, una administración pública, y no por la actividad que se realiza. El citado artículo señala que las “ Administraciones Públicas serán sancionadas con apercibimiento por el mero hecho de serlo, y siempre que reúnan esa condición, sin que el ordenamiento establezca que ello solo ocurrirá cuando realicen funciones públicas, lo que es una interpretación expansiva, o más bien, una creación legal “ex novo” de esa Agencia, dado que carece de soporte legal alguno y no existe norma que dé pie, siquiera a esa interpretación, sin que por otro lado, las infracciones de que se acusa a la Entidad puedan considerarse como de derecho privado.” Es indiferente que la contratación laboral de los trabajadores de la entidad sea de carácter privado. Indica que carece de sentido separar a que ámbitos puede afectar la actividad, dada la razón de ser administrativa del propio ente y sus funciones públicas que realiza. No se está ante una cuestión de índole laboral, sino “ante una cuestión de protección de datos, materia que compete ser cumplida por el ente administrativo en el ejercicio de su actividad pública y con la intervención de sus órganos rectores de funcionamiento, cuya actividad está sujeta a derecho administrativo.” Las decisiones relacionadas con despidos, organización del personal, y cualquier cuestión laboral, se adoptan por el Consejo Rector, estando todas estas cuestiones sometidas al derecho administrativo, y pudiendo impugnarse en alzada ante la CCAA de Madrid o en vía contenciosa (art 38 de los Estatutos). “La situación es similar a lo que ocurre con las reclamaciones de propietarios morosos de la entidad, en las que el Tribunal Supremo ha dicho que solo es competente para su conocimiento en la jurisdicción contenciosoadministrativa”. Como por ejemplo, el auto de 30/05/2012, recurso 203/2009. Señala que incluso cuando los empleados demandan laboralmente a la entidad, dado el carácter de administración pública de la misma, no tienen que realizar actos de conciliación previa señalados en los artículos 63 y 64 en relación con el 69.1 de la ley de la jurisdicción social, lo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/40 que demuestra que no es una relación privada la que existe con dichos empleados de la entidad. 2- “La iniciación del procedimiento sancionador, lo es por el sistema de reconocimiento facial, implantado según esa Agencia, desde el 6 de mayo de 2021. Con ello, se está reconociendo la validez del sistema de reconocimiento mediante huella dactilar que anteriormente había implantado la Entidad.” “Es por lo tanto, el cambio del sistema, de reconocimiento de huella dactilar a facial, lo que generaría las infracciones que se atribuyen a la Entidad.” Considera que si la huella toma las minucias, en el RF, se hace sobre el rostro, siendo en ambos casos lo mismo, no sirven para identificar de forma univoca a una persona. No se trata de datos de carácter especial pues no se conservan imágenes o fotografías del rostro, que para su funcionamiento utilizan “meras descripciones de estos”, “patrones de dibujo del rostro”, posición o dimensiones de elementos que no permiten reconstruir a partir de ellas el rostro de una persona, “las cuales además podrían coincidir en otras muchas personas, por lo que no permiten la identificación inequívoca del sujeto, mas que dentro de un grupo reducido de personas, como es el personal de la entidad”. Los datos almacenados en un ordenador, son solo accesibles a una persona, quedando encriptados y cifrados. Considera que no seria de aplicación la prohibición del artículo 9.1 del RGPD pues “no se esta antes datos biométricos dirigidos a identificar de manera inequívoca a una persona física.” Por tanto, no siendo datos de carácter especial, no es preceptivo aportar la Evaluación de Impacto establecida en el artículo 35 del RGPD. 3-La principal causa y contexto que motivó el cambio de un sistema de registro horario por huella dactilar a uno de RF, se debió a la extraordinaria y grave situación derivada de la alerta sanitaria por la pandemia, “que pone en peligro la salud e incluso la vida de los trabajadores de la Entidad, y con ello, que la Entidad pueda cumplir sus fines y obligaciones.” Las tareas que desempeña su personal afectan a la salud pública-limpieza , vadeo de calles, mantenimiento de red de saneamiento, alumbrado etc., junto con desinsectación que afectaba a 10.000 residentes, que en aquellas fechas salían de un confinamiento. Se pretendía no tocar el lector de huellas y poner su dedo en el sensor. Considera proporcional el sistema al ser un sistema fidedigno y efectivo, y el más adecuado para garantizar la salud de los empleados. 4- Considera que la base de legitimación del tratamiento viene dada por -“El contrato laboral con los usuarios, art 6.1.
9. b)del RGPD - La obligación legal de llevar a cabo un registro de la jornada laboral de los empleados de la entidad, art 6.1.
10. c)del RGPD -la propia necesidad de la empresa de controlar a los trabajadores (art. 6.1. f), de modo que la propia Entidad pueda prestar las funciones de interés público que tiene encomendadas, dado su carácter de administración pública (art. 6. 1.e).” 5- “Con la mejora de la situación epidemiológica se ha vuelto al sistema de fichaje por tarjeta, si bien se está negociando al respecto” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/40 6- En el acuerdo, se analiza como única posibilidad de legalidad del tratamiento, la laboral, contemplada en la letra 2.
11. b)del artículo 9 del RGPD, concluyéndose que no procede por tres cuestiones:
12. a)Se dice, que no se justifica que el tratamiento a través del RF sea necesario para el cumplimiento de las obligaciones en materia laboral como lo es el registro de jornada y ello porque ese control ya se había realizado previamente con el sistema de tarjetas. Considera dicho cambio de sistema necesario pues las tarjetas se prestaban por unos empleados a otros.
13. b)Las letras
14. g)y
15. h)del artículo 9.2 del RGPD, por si solas, de forma individual, y más puestas en relación entre ellas, con la propia letra b), justificarían el tratamiento especial, dada la extraordinaria situación de pandemia que hemos vivido y que se ha expuesto. La letra
16. g)habilita en el supuesto de que sea “necesario para fines de interés publico esencial”, siendo evitar la propagación del COVID un interés publico esencial, con recomendaciones para que no hubiera contacto interpersonal ni contacto con superficies. También considera que la letra
17. h)habilita mejor el tratamiento, “es necesario para fines de medicina preventiva o laboral”, siendo esa la finalidad que ha movido el cambio del sistema de registros horarios, evitar los contagios entre el personal laboral de la entidad. 7- Se dice que no se respetó la negociación o consulta con los representantes del personal, pero esto no fue así, pues se informó, se negoció y finalmente se optó por el mantenimiento del registro facial mientras duraba la pandemia, debiendo destacarse además que “los representantes de los trabajadores no quisieron nunca formular una reclamación ante la AEPD, sino simplemente realizar una consulta”. 8- La reclamada es una entidad que presta servicio publico, sin animo de lucro. Actuó con animo de proteger la salud de su personal, con el fin de garantizar que pudiera prestar su servicio que califica de esencial durante el confinamiento, entre un personal, al que le afectó de manera alta el contagio de la enfermedad. Por todo ello, considera que no puede considerar culpable a la reclamada. Añade, que además la sanción es desproporcionada, por:
18. a)en la infracción del artículo 9.2.
19. b)en relación con el 6.1 del RGPD, considera que no se pueden producir las agravantes: - del 83.2.
20. a)del RGPD, pues la infracción es ya de carácter muy grave, “no puede utilizarse esa misma gravedad intrínseca en la propia infracción para añadir a la misma un agravante” ”Se esta sancionando dos veces por la misma conducta”. -del 83.2.
21. b)del RGPD por el mismo motivo, la negligencia ya va incorporada en el tipo que se sanciona, suponiendo una ficticia suma de agravamientos que no procede. -del artículo 76.2.
22. b)de la LOPDGDD, no lo considera relevante, pues no es una entidad con gran experiencia en el tratamiento de datos con estas especiales características. -del artículo 83.2.
23. k)del RGPD, siendo de nuevo una agravante ya incluida en la sanción como muy grave, no contemplando la causa que se manifiesta como agravante el citado artículo
24. b)En la infracción del artículo 35 del RGPD, algunas de las cuestiones que se señala como agravantes de la infracción, estarían ya incorporadas en esta misma infracción, nuevamente C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/40 se están castigando dos veces, por lo que seria la misma conducta o reproche sancionador y en concreto, considera que no se pueden producir las agravantes por: -el artículo 83.2.
25. b)por un grado cualificado de grado de diligencia, al no contemplar algún tipo de análisis sobre el tratamiento, que se mantiene durante la tramitación del traslado, continuando la realización del tratamiento (93.2.1 del RGPD). “si lo que se castiga es no haber realizado una valoración de impacto, porque se considera que antes de implantar un sistema de reconocimiento facial, que esta debe realizarse, no puede considerarse agravante no haber hecho el análisis o la propia evaluación”. Considera se debería valorar, como atenuantes: - La situación de grave emergencia sanitaria nacional y excepcionalidad (con estados de alarma) derivada de la pandemia vivida. No puede obviarse que estamos hablando del mes de mayo de 2020, pleno estado de alarma con situación de confinamiento domiciliario. La pretensión última y que motiva el cambio de sistema a RF fue la lucha contra la pandemia y garantizar o cuando menos disminuir las posibilidades de contagio de la plantilla. Considera que las sanciones ni siquiera guardan la debida proporción entre ellas mismas: Se proponen de 100.000,00 euros y 20.000,00 euros. El artículo 83.5.
26. a)del RGPD, aplicable a la primera infracción, hace alusión al 4 % del volumen de negocio en el caso de empresas y con un máximo total posible de 20 millones de euros, mientras que en el 83.4 del RGPD aplicable a las sanciones graves, este porcentaje se reduce al 2 % con un máximo de 10 millones de euros. Dado que una sanción es muy grave, debería ser el doble de una grave, sin embargo la sanción muy grave es cinco veces la grave, alcanzando los 100.000,00 euros cuando el doble de la grave serían 40.000,00 euros. Teniendo en cuenta que se trata de un ente administrativo carente de lucro, debe reducirse a como mínimo una cuarta parte, situándose entre los 25.000,00 euros para la muy grave y los 12.500,00 euros para la grave, si bien, esto se dice con un carácter subsidiario, dado que ni hay infracción, ni de haberla, se puede sancionar económicamente, siendo lo correcto hacerlo con apercibimiento. SÉPTIMO: Con fecha 21/03/2022, se inicia un periodo de practica de pruebas, dando por reproducidos a efectos probatorios la reclamación interpuesta y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento E/08378/2020. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por la reclamada y la documentación que a ellas acompaña. Además, se solicita a la reclamada que aporte e informe:
27. a)Sistema que está utilizando actualmente para el control de jornada laboral, y si dejó de usar el RF, fecha y acreditación de ello. Con fecha 4/04/2022, se recibe respuesta de la reclamada en la que indica que “el sistema actual empleado” es el de tarjetas, desde que recibió el acuerdo de inicio por “prudencia” se suspendió el sistema de RF el 8/09/2021, en cuanto adquirieron las tarjetas. Aporta factura de adquisición de 40 tarjetas de 6/09/2021, tipo “proximidad por radiofrecuencia RFID PAS”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/40
28. b)En el escrito de la reclamada de 12/03/2020 dice que “Se está valorando cambiar el sistema de registro de horas actual por uno de vectores faciales, en cuyo caso almacenaría una fotografía al igual que el sistema que se utilizaba con las tarjetas”. Explique el sentido y finalidad de lo subrayado dentro del sistema de RF implantado. Manifiesta que lo que quiere decir es que “no hay variaciones significativas entre el sistema de tarjetas y el de vectores faciales, siendo la finalidad explicárselo a los delegados XXXXXXXXXX. En cualquier caso, en ese escrito solo se hacía referencia a una posibilidad que se estaba barajando. por lo que cuando se redacta no se conoce todavía en qué consiste realmente el sistema”.
29. c)Si la recogida de imágenes del rostro para el registro se efectuó con imágenes (fotografías) de los empleados previamente usadas, o con actuación presencial de los empleados. Manifiesta que con actuación presencial. “El mismo equipo que hace el reconocimiento, captura previamente para ello los vectores que va a emplear sobre el propio empleado. Los datos o minutas faciales, se captan, entran, se cifran, son usados por el aparato y no salen del mismo, sin que puedan usarse para ningún otro fin, ni extraerse. El aparato solo reporta externamente a un único equipo informático de la entidad: el día, hora y nombre de la persona verificada”.
30. d)Identificación del soporte tecnológico adquirido para el funcionamiento técnico del sistema y en que consiste. Añadiendo los elementos que lo componen, y si se contrató los servicios de la gestión del sistema con un proveedor. Si el sistema cuenta con alguna certificación tipo ISO sobre datos biométricos. Copia del contrato de gestión de tratamiento de datos por encargo. Manifiesta que se adquirió “un sistema completo, una unidad compacta, maquina lectora y que procesa la información y que lleva su programa propio”. “El proveedor no tiene acceso ni se contrató para gestionar nada del sistema”. En la factura que aporta documento 2, figura: 31/03/2020, equipo por importe de 375 euros ”equipo de control presencial y acceso facial SAFIER, VSFTCT2MTFN3A “SOFTWARE GESTIÓN PRESENCIAL SAFIRE CONTROL CENTER” de fabricación china, modelo SFAC3062KEMR-IP según el folleto que adjunta en documento 4 en que se ve el dispositivo, y el literal: “control de accesos y presencia- Reconocimiento facial y tarjeta EM-1.600 caras, 2.500 tarjetas y 50.000 registros, comunicación TCP/IP, USB y WIFI, controladora integrada, Software SAFIRE CONTROL CENTER AC, Lector biométrico autónomo de control de accesos.” Se acompaña como parte del folleto también el literal “especificaciones” que describe una descripción de elementos. Se acompaña con el folleto la imagen del dispositivo “HIKVISION”, “DS-K1T9105 Series terminal de reconocimiento facial que informa que funciona con algoritmo de aprendizaje puede funcionar como múltiples modo de autenticación 1:N emparejamiento de cara, IC autenticación tarjeta, etc. También indica las “características” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/40 Con fecha 26/04/2022 se busca en GOOGLE “SAFIRE CONTROL CENTER AC SOFTWARE existiendo entre otras la dirección: “Safire Control Center AC Software https://svtclti.com › manuales › SAFIRE-HIKVISION”, en la que pinchando sale el “manual usuario SAFIRE CONTROL CENTER CONTROL acceso”. Titula el manual versión 2019 V1.0 build 07082019, de 114 páginas en el pdf, que se incorpora al procedimiento para completar las pruebas. El mismo día 26/04/2022 se envía copia de dicho acceso y el manual integro a la reclamada. El manual contiene los mismos aspectos que detallan los folletos aportados por la reclamada, detallando la sistemática de funcionamiento y múltiples y variadas configuraciones posibles. El manual, lo mismo que el folleto que aporta la reclamada, informa que dispone de: sensor de activación auto activación por infrarrojos, cámara de 2 MP con doble sensor de reconocimiento facial, comunicación TCP/IP, USB, RS485, Wi-Fi, Peso: 400 gr.-Modos de identificación pin, tarjeta, reconocimiento facial y combinaciones, controladora integrada, sensor de puerta pulsador timbre y relé. Figura como opción la de incorporar una foto como cara, realizar una foto desde el software o capturar rostros desde el dispositivo de control de accesos, con objeto de verificar si el dispositivo de reconocimiento facial administrado en el software puede reconocer la cara desde la foto. La imagen del dispositivo compacto y de una única pieza del manual de usuario que aporta la reclamada en documento 4 “face recognition terminal” es un terminal de reconocimiento facial en el que se indica que “adopta algoritmos de aprendizaje profundo, que contribuyen a reconocer la cara más rápido y con más certeza. También soporta modos de autenticación múltiples: 1:N face match, IC card autenthication, etc. Señala que la duración del reconocimiento facial es de no más de un segundo por persona y la tasa de exactitud en el reconocimiento es de más de un 99%.
31. e)Modo de recogida, registro y almacenamiento de los datos de los empleados utilizados para el RF. Entorno en el que se produce la comparación de la cara del sistema y si hay un único punto para ello o varios. Manifiesta que “es el equipo el que hace la toma de los vectores”, solo hay un punto y el entorno es el propio equipo
32. f)Tipo de tecnología empleada de almacenamiento y funcionamiento del RF, servidor, algoritmo utilizado y funciones que efectúa. “Se compra el software que va dentro del equipo”.
33. g)En cuanto a la lectura de lo datos e identificación positiva, indiquen el modo de funcionamiento y su sincronización, puntos de lectura existentes de los datos para el cotejo de la imagen y distribución en que se hallan esos terminales de lectura. Especifiquen, si cuando se presenta la cara, ¿donde se encuentra la plantilla almacenada del empleado contra la que se coteja la imagen presentada.? (si está en el lector, en una base de datos, características de estos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/40 Manifiesta que “había un solo lector a la entrada con el equipo que también es uno”. El equipo lleva el programa incorporado. Los vectores están en el equipo, que es totalmente autónomo. La entidad solo ve: día, hora e identidad de la persona verificada. Nadie puede ver otra cosa.”
34. h)Indiquen que sucede si no reconoce la cara que se le presenta, y si almacenaría la plantilla de esa persona. Manifiesta que no sucede nada, pues el aparato no detecta los vectores, le tiene por no fichado y no almacena nada.
35. i)¿Que conexiones tiene la base de datos del ordenador con los datos del rostro que se presentan por los empleados, con los datos de empleo? Sistema de asociación del registro de la cara a la identidad de la persona. Si la base de datos se almacena en servidores, tipo de servidor y localización y titularidad. Manifiesta que no es un ordenador como tal, sino “un equipo todo integrado, autónomo en su funcionamiento e independiente”. “Al equipo asignado de la ECE- el sistema solo admite unola única información que llega es el día, hora y nombre o identidad del empleado reconocido por el sistema.”
36. j)Sistema de información a cada empleado sobre recogida y tratamiento de sus datos proporcionado, conteniendo la finalidad, base legitimadora y ejercicio de derechos de datos derivados del RF, y forma de acreditar su efectiva puesta a disposición. Manifiesta que se informó en una reunión del personal y se les ratificó de forma personal e individualizada cuando pasaron a hacerse la foto, aclarándoles las preguntas, que en su caso pudieran plantear, que fueron pocas.
37. k)Acreditación de que el sistema de control horario a través de impropiamente. la tarjeta era usado Manifiesta que el uso inapropiado de tarjetas de registro del horario por algunos empleados no es fácil de acreditar siendo ese el problema que permite realizar fraudes en el registro horario sin ser detectado. Aportan documento 5, una carta de un empleado al Consejo Rector, y el orden del día de la “asamblea personal” de 18/02/2020 que contiene en un punto del día “información sobre el registro de jornada de trabajo” en el que se refiere el asunto que se trató esta cuestión por supuestamente pasar la tarjeta de otro compañero en 30/01/2020 y haber recibido una amonestación, indicando “en relación a las aseveraciones que alguna compañera ha realizado”, niega los hechos, y manifiesta que cuando se encontraban en la fila varios compañeros esperando en orden delante de el, “nos ha entregado su tarjeta y la hemos pasado por el lector, pero nunca sin estar presente el”.
38. l)Copia de hoja registro de control horario generado por algún empleado con el fin de ver los datos que se marcan, e informen, si además el sistema se usaba para otras personas, o con otros fines. Indica que el sistema solo se usó para la finalidad de registro de horario. Acompañan una copia de un registro de un empleado anonimizado como documento número 6 apreciándose C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/40 que para esa personas, se puede agrupar los registros por días de la semana, figurando los registros horarios anotados con varias entradas y salidas en algunas jornadas.
39. m)Croquis de imagen de espacios en los que se sitúan los dispositivos para las tomas del rostro para el registro de la jornada, explicando si existen interrupciones de tiempo de trabajo efectivo y si se tiene que volver a registrar la cara en cada ocasión que se entre o salga o como funcionaría el régimen de pausas. Indica que cuando sistema estaba implantado, sí que recogía las paradas o descansos pues no se necesitaba contacto con superficies a través de las manos. Manifiesta que solo hay un dispositivo conforme al croquis que acompaña. “Está ubicado en una mesa, en un pequeño cuarto destinado a tal fin al que se accede desde un patio por una puerta. Se aprecia que el sistema se limitaría a presentar la cara ante el dispositivo y volver a salir por donde se ha entrado, como registro de presencia y que captaría fecha, hora y datos del empleado.
40. n)Valor umbral en el que el software indica que se ha producido coincidencia entre las dos imágenes faciales que se comparan, y que recomendación para este caso da el fabricante. Indica que se desconoce, ya que “se compró un software de un proveedor externo.”
41. o)Copia del registro de actividades del tratamiento: “control horario por reconocimiento facial” en documento 8, figurando como finalidad: ”control horario de empleados a través de reconocimiento facial”. Legitimación: “contrato laboral existente con los usuarios. artículo 6.
42. b)RGPD, obligación legal de realizar el registro de la jornada laboral de los empleados, artículo 6.c), necesidad de control de los trabajadores: artículo 6. f), cumplimiento a través del personal de las funciones de interés público encomendadas: artículo 6.
43. e)“Categorías de datos minucias del rostro sin salida del equipo de lectura día y hora de lectura nombre y apellidos del empleado” Cesión de datos: no se prevén salvo en su caso administración laboral y juzgados laborales. Solo datos reportados por el equipo Periodo de conservación mínimo cuatro años, máximo 10 años, los datos reportados por el equipo de lectura. Minucias del rostro, son eliminados al cese de la relación laboral. Medidas de seguridad: cifrado de las minucias del rostro y conservación de los datos estanca en el equipo.
44. p)Bajo su punto de vista, que significado otorga a la expresión “sistema biométricos estadísticos” al que alude en alguno de sus escritos. Indica que esto es información que da el fabricante sobre cómo opera el tratamiento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/40 Indica que el sistema solo recoge unas minucias o características especiales concretas, en general la posición o dimensiones de elementos de la huella o el rostro fundamentalmente que no permiten construir la propia huella ni el rostro de una persona. Se trata de destacar que no se guarda en el sistema la fotografía de la persona sino unas minucias especiales y con el término estadístico que son diferenciadoras solo dentro del propio grupo comparativolos empleados de la entidad-.
45. q)Que intereses y derechos de los empleados, y medidas de seguridad para sus datos se han tenido en cuenta en la instauración del sistema de RF. Manifiesta que el interés para el establecimiento ha sido la salud del personal, tomándose la medida en contexto de pandemia, confinamiento y lucha contra la COVID, pretendiendo evitar contagios derivados del uso de tarjetas de mano. En cuanto a las medidas de seguridad se vuelve a insistir en que el aparato es estanco y autónomo por lo que no hay ninguna circulación de los datos o minucias que del rostro toma. Además, cifra los datos, por lo que éstos no se pueden utilizar por nadie, ni para nada. El aparato toma las minucias del rostro diferenciadoras, en comparación con el resto que tiene del grupo, las cifra, y las procesa, conservándolas para hacer las identificaciones y solo reporta el resultado, consistente en día, hora e identidad de la persona, sin que esas minucias circulen, ni se usen para nada, ni se puedan usar para otros fines.
46. r)Acuerdo por el que se aprobó la instauración del sistema de RF para el control horario. Aporta copia de documento 9, certificado que señala que en la reunión del Consejo Rector de la Entidad de 31/03/2020, se adoptó el acuerdo de: “El presidente informa que, ante la expansión del virus COVID-19, y en evitación de la proliferación de contagios entre los trabajadores de esta entidad, que proceden diariamente al fichaje dentro de su jornada laboral, se tendría que determinar otro sistema de registro. Después de un largo debate al respecto, se acuerda por unanimidad, proceder a la adquisición de un sistema biométrico facial para el control de accesos, eliminando así la posibilidad de cualquier contacto físico con el sistema mencionado”
47. s)Quien es el titular de las instalaciones, dominio publico urbanizado sobre el que recae la obligación de conservar de esa entidad, y si el mismo tomó parte en la decisión de uso del RF. Indica que el titular de algunas de las instalaciones, como por ejemplo el terreno y edificaciones en que se ubican las oficinas de la propia entidad es esta misma. Otras instalaciones como pueden ser los viales, la red de saneamiento, espacios verdes, o cualquier instalación o espacio de dominio público, son titularidad de los Ayuntamientos de ***LOCALIDAD.1y de Nuevo Baztán. “Los Ayuntamientos no participaron en la toma de decisión, puesto que son parte del Consejo pero sin voto.”
48. t)Qué funciones de las públicas que tiene atribuidas ejercita cuando decide el uso de dispositivos técnicos para la recogidas de datos en base a RF de los empleados para su control horario. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/40 Manifiesta que las de conservación de las instalaciones de dominio público de la urbanización, las cuales se llevan a la práctica y se realizan a través de sus empleados de conformidad con los estatutos de la entidad. Reiteran su consideración, ya hecha en las alegaciones de que es la persona, es decir, la entidad como ente público administrativo y no la actividad que ejerce- que la considera también pública administrativa- lo que determina la posibilidad de imponer un tipo de sanción u otro, sin que puedan realizarse interpretaciones expansivas sobre las que establece la ley y menos para imponer una sanción. OCTAVO: Con fecha 3/05/2022 se emite propuesta de resolución del literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione con apercibimiento a ENTIDAD URBANÍSTICA COLABORADORA DE CONSERVACIÓN EUROVILLAS, con NIF G79414033, por las infracciones del RGPD: -artículo 9.2.
49. b)del RGPD, tipificada en el artículo 83.5
50. a)del RGPD y en el 72.1.
51. e)de la LOPDGDD. -artículo 35 del RGPD, tipificada en el artículo 83.4
52. a)del RGPD y en el 73.
53. t)LOPDGDD.” de la Se reciben alegaciones el 17/05/2022, en las que indica: - La propuesta no explica en que consiste la identificación unívoca que hace que los datos sean considerados especiales. Para estar ante una categoría especial de datos personales, no solo tenemos que estar ante datos biométricos, sino ante datos biométricos dirigidos a identificar de forma unívoca o única a una persona. Que no se consideren datos especiales hace que no se requiera evaluación de impacto. unívoca - No se ha tenido en cuenta la manifestación de que “no utilizan imágenes de rostros, sino descripciones de estos que se traducen en ciertos patrones del dibujo del rostro” y que el sistema solo toma “posición o dimensiones del rostro que no permiten reconstruir el rostro de la persona, las cuales podrían coincidir en otras muchas personas por lo que no permiten la identificación inequívoca del sujeto, mas que dentro de un grupo reducido de personas como es el personal de la entidad” “no se guardan datos identificativos inequívocos de ningún trabajador”. “En el procedimiento no se ha realizado un análisis o peritaje de qué capta realmente el lector, siendo la carga de la prueba de esa Agencia, por lo que no está acreditado que lo expuesto por esta parte no sea así”. “En este sentido, se rechaza la incorporación al expediente como prueba del supuesto Manual de usuario localizado por el instructor en Internet a través de una búsqueda genérica en Google, habiendo localizado el mismo en un enlace en la dirección principal web ***URL.1 (que no da ningún resultado), por desconocerse si dicho Manual es el correcto, ni haberse reclamado siquiera al fabricante o haberse confirmado con el mismo su corrección. Todos los hechos y conclusiones que se realizan en base a dicho Manual no pueden tenerse por acreditados ni darse por correctos, dado que no es una prueba obtenida con las debidas garantías de veracidad y certeza.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/40 -Reitera que si existía causa que levantaba la prohibición del tratamiento si se considerase el mismo dato especial. “Las letras
54. g)y
55. h)del articulo 9.2 del RGPD por si solas, de forma individual y mas puestas en relación entre ellas con la propia
56. b)justificarían el tratamiento”, dada la extraordinaria situación de pandemia vivida. “La letra
57. h)encaja mejor porque habilita el tratamiento cuando es necesario para fines de medicina preventiva o laboral”. -Reitera que no es causa suficiente manifestar que antes controlaban la jornada laboral con tarjetas, dada la manipulación y fraudes que se han dado “que han explicado y justificado”. - “Se rechazan las alegadas bases de legitimación, por considerarse que no está justificada la utilización de un medio que esa Agencia considera muy intrusivo, no guardando proporcionalidad, y porque, además, anteriormente, el control de la jornada laboral se hacía por medio de tarjetas sin que se hayan justificado los problemas que las mismas presentaban”. “Existe base jurídica para ello, si bien esa Agencia lo acaba denegando en base a un principio jurídico indeterminado: “el de la proporcionalidad”. “La proporcionalidad”, no deja de ser algo subjetivo y relativo, no algo claro e indubitado. Se puede discutir sobre ello. Esta parte, puede llegar a aceptar, que si la Agencia así lo considera, no esté justificado el tratamiento en atención a ese juicio de proporcionalidad entre el interés de la Entidad y los derechos de los empleados, pero otra cosa muy distinta es imponer una sanción.” - No responde a la situación alegada, que se presentaba en el momento de la instauración del reconocimiento facial, la de la extraordinaria y grave situación sanitaria que ponía en peligro la vida y la salud de los trabajadores. Reitera la importancia del desempeño de las funciones de los empleados cuando la gente pasaba mas tiempo que nunca en sus casas y que resultaron muchos empleados afectados, queriendo con ello evitar que tuvieran que controlar la jornada con el lector de huellas. -Falta de culpabilidad que se desprende de la situación extraordinaria y grave del periodo en el que se instauró el sistema. Consideran que es inexistente. Además, en la resolución se indica que es la primera resolución por uso de RF en el control de jornada laboral. HECHOS PROBADOS 1) Con fecha 12/03/2020, la reclamada informa a sus 38 empleados a través de sus representantes, que por la situación de coronavirus, va a implantar para el registro diario de jornada laboral, el sistema de reconocimiento facial (RF). El 30/04/2020 la reclamada comunica su instauración a partir de 6/05/2020. Antes de la declaración de la pandemia, en 1/03/2020, la empresa tenía implantado el sistema de huella dactilar para el control del registro horario laboral, en el trámite del cual había informado a las empleados que las tarjetas utilizadas anteriormente, eran susceptibles de traspasarse para fichar entre empleados en nombre de otros para la misma función. El cambio al RF, entre otros motivos, manifestó la reclamada, se hizo por evitar el contacto con el lector de huella por la propagación de la COVID. 2) La reclamada es una entidad urbanística colaboradora de conservación constituida con carácter obligatorio desde 1988, agrupando unos cuatro mil propietarios, en unas tres mil viC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/40 viendas unifamiliares, formando una población de más de diez mil habitantes, según la reclamada). 3) Los empleados de la reclamada prestan en algunos casos régimen de trabajo a turnos, o servicios de urgencias con atención de 24 horas al día, y además, tareas típicas relacionadas con el fin de las entidades de conservación urbanística: conservar la urbanización y el mantenimiento de las dotaciones e instalaciones de los servicios públicos, a título de ejemplo: realización de obras ordinarias y extraordinarias e instalaciones, labores como limpieza y vadeo de calles, obras a conservar y mantener, pueden ser de vialidad (calzada, aceras, aparcamiento y red peatonal), red de saneamiento (colectores, sumideros, depuradoras), de alcantarillado, de suministro de agua (potable, para el riego, hidrantes contra el fuego), de suministro de energía eléctrica (conducción, distribución y alumbrado público), y jardinería y arbolado en parques, jardines y vías públicas, amueblamiento y mobiliario urbano, para su uso y disfrute, titularidad pública de los Ayuntamientos de ***LOCALIDAD.1 y de ***LOCALIDAD.2 espacios en cuyo ámbito se localiza la reclamada. La reclamada adoptó el 31/03/2020, el acuerdo de registrar la jornada diaria laboral para empleados de su entidad, mediante el uso de un sistema biométrico de RF, teniendo en cuenta la expansión de la COVID-19, y en evitación de la proliferación de contagios entre los trabajadores. Manifiesta en el traslado la reclamada, que el RF es “el más adecuado para garantizar la salud de los trabajadores”, “efectivo y proporcional” sin documentación que soporte dichas afirmaciones. 4) En el registro de actividades del tratamiento de la reclamada, figura: “control horario por reconocimiento facial” finalidad: ”control horario de empleados a través de reconocimiento facial”. Legitimación: “contrato laboral existente con los usuarios artículo 6.
58. b)RGPD, obligación legal de realizar el registro de la jornada laboral de los empleados (artículo 6.c), necesidad de control de los trabajadores (artículo 6. f), cumplimiento a través del personal de las funciones de interés público encomendadas: artículo 6.e)” “Categorías de datos: minucias del rostro -sin salida del equipo de lectura-. Día y hora de lectura nombre y apellidos del empleado”. Cesión de datos: no se prevén salvo en su caso administración laboral y juzgados laboralessolo datos reportados por el equipo-. Periodo de conservación; mínimo cuatro años, máximo 10 años, los datos reportados por el equipo de lectura. Minucias del rostro, son eliminados al cese de la relación laboral. Medidas de seguridad: cifrado de las minucias del rostro y conservación de los datos estanca en el equipo.” 5) El dispositivo que utiliza la reclamada lo adquirió el 30/03/2020, según su manual, diseñado para control presencial y acceso facial, SAFIER, modelo SF-AC3062KEMR-IP, fabricado en China “ 1.600 caras, 2.500 tarjetas y 50.000 registros, TCP/IP, USB y WIFI, controladora integrada, Software Safire Control Center AC, tiempo reconocimiento , <0,5 sg., peso 400 gr, cámara 2 MP con doble sensor de reconocimiento facial, pantalla 5 LCD táctil, un coste de 375 euros. Figura como opciones, las de incorporar una foto como cara, realizar una foto desC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/40 de el software o capturar rostros desde el dispositivo de control de accesos, con objeto de verificar si el dispositivo de reconocimiento facial administrado en el software puede reconocer la cara desde la foto. La imagen del dispositivo que aporta la reclamada es un terminal de reconocimiento facial en el que se indica que “adopta algoritmos de aprendizaje profundo, que contribuyen a reconocer la cara más rápido y con más certeza”. También soporta modos de autenticación múltiples: 1:N face match, IC card autenthication, etc. El dispositivo para el reconocimiento facial, está instalado en un ordenador protegido con contraseña, al que solo tiene acceso una persona, estando los datos biométricos encriptados, no siendo extraíbles. El dispositivo que lleva dentro su propio software hace la propia extracción de puntos de referencia de la cara tras hacer la fotografía y crea un patrón. El dispositivo dispone de un solo lector. Proporciona al ordenador de la reclamada informes sobre hora, fecha y empleado en cada ocasión que entra y o sale , para lo cual tiene que pasar por la habitación en la que se produce la captura de la imagen. 6) Técnicamente, de la información extraída del expediente, por comunicación de reclamada a reclamante, manifestaciones de la reclamada, y documentos aportados, el sistema de RF con fines de registro diario de jornada laboral consiste en un dispositivo colocado en una habitación frente al que los empleados presentan la cara y a través del RF, registra la hora, fecha y nombre y apellidos del empleado. El sistema del software funciona extrayendo imágenes bidimensionales del rostro, no conserva imágenes o fotografías del rostro, sino que traduce la toma de la fotografía que la empresa les hizo presencialmente a los empleados a una plantilla, con las características de los parámetros capturados, plantilla que se guarda en el equipo o sistema vinculada con el nombre y apellidos del empleado. Cuando se captura una muestra biométrica de la persona, al entrar o salir del trabajo, la compara con las plantillas registradas y da como resultado la hora, fecha y el nombre y empleado de la persona que entra o sale del turno de jornada. En cada ocasión que el empleado ha de hacer una interrupción de la jornada, debe volver a entrar en la habitación y presentar la cara para su registro. Los datos tratados se encuentran en los servidores de la entidad. De acuerdo con la reclamada, los datos registrados se almacenen en el mismo dispositivo en el que tiene lugar el registro. 7) La reclamada no ha aportado a la AEPD la evaluación de impacto del tratamiento de datos biométricos de RF para el registro de la jornada diaria laboral de sus empleados, alegando que no trata datos biométricos de carácter especial porque no identifican de manera univoca a una persona. 8) Sobre información a los afectados de la recogida y tratamiento de sus datos, conteniendo la finalidad, base legitimadora y ejercicio de derechos derivados del tratamiento de reconocimiento facial para el registro diario de jornada laboral, manifestó la reclamada que se informó en una reunión del personal y cuando pasaron a hacerse la foto. Figura que la reclamada, en documento 6 aportado por la reclamante, el 30/04/2020, le informa de la implantación del RF: ”Este sistema funciona a partir de la identificación de un porcentaje de características extraídas del rostro, sin tomar una imagen en tres dimensiones de las caras, entendemos que esta medida es menos invasiva que la grabación del momento del fichaje por cámara, que además suponía el contacto físico con un lector de tarjeta compartido. El fin único de estos datos es el fichaje de personal y análisis de los tiempos de trabajo para el cumplimiento del decreto C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/40 ley 8/2019, con objeto de analizar los datos en toma de decisiones y la defensa de sus interese legítimos”. “Estos datos se encontrarán en los servidores de esta entidad, en ningún caso en la nube”. Con ocasión de la implantación del anterior sistema de huella dactilar para lo mismos fines, las partes habían intercambiado escritos sobre el uso, fines e información y constaba la disconformidad de la reclamante con el sistema. 9) Con fecha 17/09/2021, en alegaciones al acuerdo, la reclamada indicó que “se ha vuelto al sistema de fichaje por tarjeta” desde que recibió el acuerdo de inicio, aportando una factura de adquisición de dichos elementos. FUNDAMENTOS DE DERECHO I En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de control, y según lo establecido en los artículos 47 y 48 de la LOPDGDD, la Directora de la Agencia Española de Protección de Datos es competente para iniciar y para resolver este procedimiento. II Es objeto de valoración en este procedimiento el ajuste normativo que se analiza en cuanto al sistema de RF para el registro diario de jornada laboral que la reclamada reconoce ha implantado y usado desde 6/05/2020, hasta recibir el acuerdo de inicio, con la finalidad de tratar los datos de los 38 empleados de su entidad para el registro diario de la jornada laboral, obligación impuesta en el artículo 34.9 del Texto Refundido de la Ley del Estatuto de los Trabajadores, aprobado por Real Decreto Legislativo 2/2015, de 23/10 (ET). No se trata en puridad del primer tipo de reclamación que por esta técnica tan novedosa ha tenido entrada en esta AEPD, habiendo sido ya resueltas algunas. Sin embargo, si se trata de la primera relacionada con el tratamiento de datos como entidad empleadora que decide utilizar el registro y almacenamiento de datos originados por el RF para la finalidad de registro diario de jornada laboral. El ámbito de aplicación del RGPD extiende su protección, tal y como establece su artículo 1.2, a los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales, definidos en su artículo 4.1 como “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.” El derecho y la titularidad de los datos personales que cada persona reconocido en el artículo 18.4 de la Constitución Española, fue interpretado en la sentencia del Tribunal constitucional 292/2000 precisando que: “Este derecho fundamental a la protección de datos … atribuye a su titular un haz de facultades que consiste en su mayor parte en el poder jurídico de imponer a terceros la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/40 realización u omisión de determinados comportamientos cuya concreta regulación debe establecer la Ley, aquella que conforme al art. 18.4 CE debe limitar el uso de la informática, bien desarrollando el derecho fundamental a la protección de datos (art. 81.1 CE), bien regulando su ejercicio (art. 53.1 CE). “ “ el derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad y derecho del afectado. … El derecho a la protección de datos garantiza a los individuos un poder de disposición sobre esos datos. Esta garantía impone a los poderes públicos la prohibición de que se conviertan en fuentes de esa información sin las debidas garantías; y también el deber de prevenir los riesgos que puedan derivarse del acceso o divulgación indebidas de dicha información. Pero ese poder de disposición sobre los propios datos personales nada vale si el afectado desconoce qué datos son los que se poseen por terceros, quiénes los poseen, y con qué fin. “ Como tipos específicos, los datos biométricos quedan definidos en el artículo 4.14 del RGPD: «datos biométricos»: datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos; Para considerarse datos biométricos en el sentido del RGPD, el tratamiento de datos sin procesar, como las características físicas, fisiológicas o conductuales de una persona física deben implicar una medición de dichas características. Dado que los datos biométricos son el resultado de tales mediciones, el RGPD indica en su artículo 4, apartado 14, que son datos personales «[…] obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona […]»Así pues, del concepto, no hay que perder de vista: -La naturaleza de los datos: datos relativos a las características físicas, fisiológicas o conductuales de una persona física; - Los medios y las formas de tratamiento: datos «obtenidos a partir de un tratamiento técnico específico»; lo que diferencia por ejemplo de las imágenes de una persona que figuran en un sistema de videovigilancia, que no pueden considerarse datos biométricos si no se han tratado técnicamente de una forma especifica con el fin de contribuir a la identificación única de esa persona. El considerando 51 del RGPD también se refiere a la no consideración sistemáticamente como un tratamiento de categoría especial de datos, a las fotografías, a menos que se les aplique un medio de tratamiento técnico especifico que “permita la identificación o la autentificación unívocas de una persona física”. - La finalidad del tratamiento: los datos se deben utilizar para la finalidad de identificar de manera unívoca a una persona física. Los datos biométricos presentan la particularidad de ser producidos por el propio cuerpo y lo caracterizan definitivamente, son datos no sobre esa persona, sino que los datos refieren a la misma persona, en principio no modificables por voluntad del individuo, ni la persona puede ser liberada de ellos, no se pueden cambiar en caso de compromiso-pérdida o intrusión en el sistema. Además, debido a que los datos biométricos son propios de una persona y C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/40 perpetuos, el usuario utiliza los mismos datos en diferentes sistemas. Por lo tanto, un robo de identidad no solo es perpetuo en el tiempo, sino que afecta a todos los sistemas en que un usuario tenga almacenados sus datos biométricos. El titular por lo tanto, no tiene la posibilidad de utilizar un dato biométrico para el banco, y uno diferente para su sistema de salud, sino que utiliza la misma información para verificar su identidad en ambos, y frente a una vulnerabilidad se ven afectados todos ellos al mismo tiempo. Finalmente, el interesado no se entera de que su información esta siendo utilizada, pudiéndose obtener a través de objetos, rastros o cámaras de vigilancia. También de partida, hay que destacar la nota del carácter restrictivo, pues por principio, su tratamiento está prohibido y solo pueden tratarse con carácter excepcional, en determinados supuestos que se contemplan en el RGPD, que prevé unos estrictos requisitos para posibilitar finalmente la puesta en funcionamiento de tales sistemas, debido a la afectación a los derechos y libertades fundamentales, por los riesgos que puede entrañar el contexto de su tratamiento, y que como señala el Considerando 51 del RGPD:” Tales datos personales no deben ser tratados, a menos que se permita su tratamiento en situaciones específicas contempladas en el presente Reglamento, habida cuenta de que los Estados miembros pueden establecer disposiciones específicas sobre protección de datos con objeto de adaptar la aplicación de las normas del presente Reglamento al cumplimiento de una obligación legal o al cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento. Además de los requisitos específicos de ese tratamiento, deben aplicarse los principios generales y otras normas del presente Reglamento, sobre todo en lo que se refiere a las condiciones de licitud del tratamiento. Se deben establecer de forma explícita excepciones a la prohibición general de tratamiento de esas categorías especiales de datos personales, entre otras cosas cuando el interesado dé su consentimiento explícito o tratándose de necesidades específicas, en particular cuando el tratamiento sea realizado en el marco de actividades legítimas por determinadas asociaciones o fundaciones cuyo objetivo sea permitir el ejercicio de las libertades fundamentales.” El Considerando