← España

PS-00232-2015

1/15 Procedimiento Nº PS/00232/2015 RESOLUCIÓN: R/02380/2015 En el procedimiento sancionador PS/00232/2015, instruido por la Agencia Española de Protección de Datos a la entidad ELECNOR, S.A., vista la denuncia presentada por Don A.A.A., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 16 de junio de 2014, tuvo entrada en esta Agencia un escrito de Don A.A.A. en el servicio de Climatización Contraincendios y Tratamiento de aguas den aeropuerto de Málaga, declarando que durante los días 21, 22 y 23 de mayo de 2014, el responsable del departamento de mantenimiento para Andalucía de la empresa ELECNOR, SA, ha procedido a recoger de trabajadores que conforman la actual plantilla adscrita al mencionado expediente, datos de carácter personal no recabados con anterioridad por la empresa, en concreto datos biométricos de sus huellas digitales, sin previa notificación, información ni obtención de consentimiento explícito o inequívoco de ninguno de ellos, sirviéndose del obligado deber de los trabajadores de cumplir las órdenes e instrucciones que los responsables de la empresa en el ejercicio de su función directiva, les indiquen. No aportan ningún documento que acredite este extremo. SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección de esta Agencia se tuvo conocimiento de lo siguiente: 1. Mediante escrito de fecha 5/12/2014 se solicitó al denunciante que aportase la información previa a la captación, que en su caso, haya remitido ELECNOR a los trabajadores o representantes. El denunciante con fecha 2/1/2015 aportó un escrito donde manifiesta que el 21/5/2014 se recibió al correo de la representación sindical de los trabajadores (......@gmail.con Sección Sindical CGT) e-mail del responsable del departamento de mantenimiento Andalucia de Elecnor, sin contenido de texto pero con archivos adjuntos consistentes en Manual de Usuario y Manual de Instalación, ambos en inglés, del aparato de control horario instalado, así como el archivo “marcador biométrico 1.attlog.dat”. Manifiestan que aparte de estos archivos, no se ha remitido, notificado o informado al respecto a ninguno de los trabajadores ni a sus representantes sindicales, ni obtenido consentimiento de ninguno de ellos, ni previa a la recogida de los datos biométricos de las huellas digitales de los trabajadores ni con posterioridad por parte de ningún responsable de la empresa para justificar y/o obtener beneplácito para la captación de dichos datos biométricos. A pesar de las manifestaciones realizadas, no se ha aportado ningún documento que permita acreditarlas, no aportado tampoco los correos electrónicos recibidos ni de los documentos mencionados. 2. Con fecha 4/2/2015 se solicitó información a Elecnor, SA, y de la información aportada se desprende lo siguiente: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/15 Respecto de la fecha en la que se ha procedido a recoger las huellas digitales, manifiestan que no pueden precisar la fecha porque desconocen la información del “interesado”. Lo que si pueden afirmar es que en su procedimiento de recogida de datos de carácter personal en relación a sus empleados, toda la información necesaria y pertinente es recogida en el momento del Alta del Empleado. Esta información varía en función del centro de trabajo en el que el empleado vaya a realizar sus funciones. En algunos centros para la finalidad “control horario” se utilizan las huellas digitales. Respecto de la finalidad para la cual se recoge la información citada, manifiesta que en algunos centros se utiliza la huella digital para la finalidad de control de presencia de sus empleados. Respecto de la información que se ha facilitado a los trabajadores con carácter previo al tratamiento de las huellas digitales y fecha en la que se ha informado de la recogida, manifiestan que en su procedimiento de información a los empleados se identifica la finalidad para la recogida de sus datos así como el medio y manera de realizar el ejercicio de derechos ARCO. Este documento, manifiestan que se facilita al inicio de la relación laboral que se actualiza bienalmente. Adjuntan copia de esta documentación. En el documento aportado se aprecia que se informa a los empleados de que lo datos recabados se van a incluir en el fichero denominado Empleados y entre otras tiene como finalidad la gestión de la presencia horaria. Aportan el documento con los datos personales que se recaban del empleado pero aquí no consta la huella digital. 3. Se accede al Registro General de Protección de Datos y se verifica que el fichero que tiene inscrito Elecnor, SA relativo a sus empleados no consta como dato recabado la huella. TERCERO: De la información contenida en las actuaciones previas de investigación, y sin perjuicio de lo que se derive de la instrucción del presente procedimiento de sancinador, se desprende que la entidad ELECNOR, S.A., dispone de un sistema de recogida de huella digital, sin que haya informado previamente a sus trabajadores de que los datos incorporados podrán ser usados para el control laboral de los mismos, según se recoge en el artículo 5 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de los Datos de Carácter Personal. CUARTO: Con fecha 22 de abril de 2015, el Director de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a ELECNOR, S.A., por la presunta infracción del artículo 5 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal ( en lo sucesivo LOPD), en relación con el artículo 20.3 del Estatuto de los Trabajadores, tipificada como leve en el artículo 44.2.

  1. c)de dicha norma, pudiendo ser sancionada con multa de 900 € a 40.000 €, de acuerdo con el artículo 45.1 de dicha Ley Orgánica. QUINTO: Notificado el acuerdo de inicio, ELECNOR, S.A., mediante escrito de fecha 13 de mayo de 2015, formuló alegaciones en las que manifestó, básicamente, lo siguiente: - En el marco de la relación laboral entre Elecnor y los trabajadores afectados, Elecnor se encuentra legitimada a realizar los controles que verifiquen el C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/15 cumplimiento de las obligaciones y deberes laborales de los trabajadores, tal y como está establecido en el artículo 20.3 del Estatuto de los Trabajadores. - Uno de los controles a realizar era el control de presencia de los trabajadores en la obra tanto para el control horario como de medida de seguridad del propio aeropuerto. Por tanto se consideró apropiado un sistema de huella dactilar que se puso en marcha con posterioridad a la contratación de los trabajadores. - Los datos recabados por Elecnor son adecuados y necesarios en el marco de la relación laboral y cumplen el principio de proporcionalidad consagrado por la LOPD. - Elecnor cumple con los requisitos de la LOPD, incluyendo en el momento del alta del trabajador, en la parte trasera del contrato, la cláusula informativa para el consentimiento al tratamiento de la información (modelo 145), junto a otro documento de buenas prácticas. - Respecto al control de presencia, se firma un documento *********1, en el que se informa de manera detallada los tipos de datos, finalidad del fichero, nombre del mismo y de los derechos ARCO. - En el caso que nos ocupa y tras la investigación interna se comprobó que en abril de 2014, se dio de alta al personal subrogado de la obra “Servicio de climatización contra incendios y tratamiento de aguas en el aeropuerto de Málaga”. Al resultar adjudicataria de dicho contrato. Siguiendo los procedimientos internos, los trabajadores firmaron el acuerdo de mantenimiento de condiciones laborales por subrogación, sin embargo, se negaron a firmar el modelo 145, que se les envió posteriormente. Se aporta documento en el que se demuestra que llegaron al centro y que el departamento de personal les reclama el modelo 145. - En mayo de 2014, se decide poner el control de presencia con el método de la huella digital. Al negarse sistemáticamente a firmar cualquier documento de la empresa, no se les envía el documento *********1 donde se encontraba la cláusula en la que se informa a los trabajadores subrogados de que su huella será recogida en un fichero con la finalidad del control de presencia, del que es responsable Elecnor y de la forma de ejercer sus derechos ARCO. - Por ello, Elecnor decidió informar a los trabajadores en tres momentos y de tres formas distintas: Por ello, ELECNOR decide informar a los trabajadores en tres momentos y de tres formas distintas: “• colocación de carteles informativos en los tres lugares oficiales de control de presencia acordados con el comité de empresa: almacén, vestuarios y oficina, durante la colocación del sistema (23/05) y su puesta en funcionamiento (12/06) (ver anexo 6). • de forma individualizada a cada trabajador en el momento de la recogida de sus huella por primera vez en la máquina. • En reuniones previas y posteriores con el comité de empresa. - De todas formas, esta forma de proceder de la delegación Sur, si bien es un intento de cumplir con las obligaciones establecidas, no se corresponde con el procedimiento establecido por ELECNOR, para el cumplimiento de la LOPD y los responsables deberían haber comunicado esta situación como INCIDENCIA C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/15 para que el Comité de Seguridad LOPD actuara, tal y como marca el Procedimiento 3 (Ver Anexo 7). - Junio/Julio 2014: Se solicitó por parte del comité de empresa que la empresa les garantice por escrito que no va a usar la información del sistema de control de presencia para sancionar en caso de incumplimiento de las obligaciones y deberes de los empleados (ver Anexo 8)”. - Sin perjuicio de lo anterior, Elecnor manifiesta su intención de rectificar la situación actual, en aras de preservar el derecho de información de sus trabajadores, conforme al derecho de información establecido por el artículo 5 de la LOPD, comprometiéndose a enviar una nueva comunicación individual a los trabajadores e incluir una cláusula adecuada en el modelo de contrato de trabajo. - “La empresa, en vista de los acontecimientos, ha llevado a cabo las siguientes acciones correctoras: o Acción correctora 1: El 17/02/2015 se realiza sesión de reciclaje del personal de Dirección Sur, en Sevilla, para recordar:  los derechos de los trabajadores,  sus obligaciones como empleados de mantener unas buenas prácticas en la protección de datos,  especial incidencia en la importancia de la comunicación de incidencias al comité de Seguridad de la LOPD para que éste pueda tomar medidas correctoras a tiempo. - Se adjunta en Acta sesión formativa y material usado en las formaciones al personal, formaciones realizadas en todas las delegaciones con una periodicidad de dos años. o Acción correctora 2: se modifican los acuerdos de subrogación, para incluir en ellos la cláusula de empleados, y así, no dar opciones a la no firma del modelo 145, garantizando la prueba de haber informado. Se crea un nuevo documento en el sistema de seguridad *********2 y se distribuye su uso en las direcciones de negocio. o Acción correctora 3: se hace una campaña para recordar al personal de todas las oficinas con sistemas de control por huellas o sistemas biométricos de la finalidad del uso de dicha huella, donde ejercer sus derechos ARCO, etc. o Acción correctora 4: se notifica el dato de la huella dactilar y los sistemas biométricos como tipo de datos en el Fichero Empleados de ELECNOR en el Registro General de Protección de Datos, que resultó estar pendiente de modificación siendo subsanado inmediatamente. (ver anexo 13). Por todo ello considera que no se ha infringido el deber de información solicitando que se proceda al archivo del presente expediente, añadiendo, por último, que: - La empresa tiene establecido en sus procedimientos el deber de información a los trabajadores individualizada tal y como marca el art. 5, C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/15 pero en este caso, ante la actitud de los trabajadores de no firmar, se buscaron medidas alternativas de cumplimiento con dicha obligación de informar. - No se instrumentalizó dicho sistema para sancionar a los trabajadores ni se aplicaron sanciones a través de la información obtenida del mismo. - La conflictividad existente entre el comité y la empresa, prueba de ello de se aportan correos electrónicos significativos en el anexo 14, donde se hace referencia a esta cuestión ya que puede explicar determinadas conductas”. En base a todo ello solicitó el archivo de actuaciones respecto de la infracción imputada y, subsidiariamente, que sea sancionada en la cantidad mínima de acuerdo a los principios del artículo 45.4 y 45.5 de la LOPD. “En especial, por los siguientes motivos: - Únicamente la incidencia y reclamación afectó a los trabajadores de dicho contrato de mantenimiento, es decir un número muy reducido. - Inexistencia de vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. - La inexistencia de beneficios obtenidos como consecuencia de la comisión de la infracción. - Inexistencia total de intencionalidad en la comisión de la infracción, inexistencia de reincidencia y de perjuicios. - La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de los datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor”. SEXTO: Con fecha 26 de mayo de 2015, se inició el período de práctica de pruebas, en el que se dieron por reproducidos a efectos probatorios la denuncia interpuesta por Don A.A.A. y su documentación, los documentos obtenidos y generados por los Servicios de Inspección ante ELECNOR S.A., y el Informe de actuaciones previas de Inspección que forman parte del expediente E/06765/2014. Asimismo, se dio por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio PS/00232/2015 presentadas por ELECNOR S.A., y la documentación que a ellas acompaña SÉPTIMO: Con fecha 4 de agosto de 2015, se formuló propuesta de resolución, proponiendo la imposición de una sanción de 1300€ a la entidad ELECNOR S.A., por la comisión de una infracción del artículo 5.1 de la LOPD, tipificada como leve en el artículo 44.2.
  2. c)de dicha Ley. OCTAVO: Con fecha de puesta en el Servicio de Correos de 26 de agosto de2015, ELECNOR S.A. realizó alegaciones frente a la citada propuesta de resolución en las que, básicamente, reiteró lo ya manifestado en sus alegaciones al Acuerdo de Inicio e insistió en que no ha cometido infracción del artículo 5, todo ello por varios motivos: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/15 - “En primer lugar, porque como ya se ha acreditado en el presente expediente, los trabajadores se negaron a firmar cualquier documento de la empresa, por ello no se firmó el documento *********1 donde se encontraba la cláusula en la que se les informa a los trabajadores subrogados de que su huella será recogida en un fichero con la finalidad del control de presencia, del que es responsable Elecnor y el lugar y forma de ejercer sus derechos de acceso, rectificación, cancelación y oposición acorde a los establecido en el artículo 5 de la LOPD. - En segundo lugar, porque ELECNOR, ante la negativa de los trabajadores a firmar cualquier documento, decide informarles a través de otras vías: Colocación de carteles informativos en los tres lugares oficiales de control de presencia acordados con el comité de empresa: almacén, vestuarios y oficina, durante la colocación del sistema (23/05) y su puesta en funcionamiento (12/06) (ver anexo 6 de las alegaciones frente al acuerdo de inicio de expediente). • Informar de forma individualizada a cada trabajador en el momento de la recogida de sus huellas por primera vez en la máquina. • En reuniones previas y posteriores con el Comité de Empresa. En este sentido el Informe Jurídico 325/2009 de la AEPD, concluye que para acreditar el cumplimiento del deber de información, será suficiente la aportación de indicios suficientes que coadyuven a entender cumplido el requisito, como por ejemplo, en caso de adjuntarse la misma con la nómina, o en un documento como anexo al contrato de trabajo, o enviando un e-mail de respuesta a los empleados, o notificación por correo certificado o a través de la lntranet de la empresa, incluso podría efectuarse situándose la información en tablón de anuncios de la empresa seguro, accesible y visible con facilidad por los afectados. La LOPD no exige una forma determinada de llevar a cabo el deber de información que impone. La Agencia de protección de Datos se ha pronunciado respecto de la libertad de forma, admitiendo la información facilitada mediante un cartel anunciador, que reúna los requisitos de ubicación y formato que garanticen su conocimiento por parte de los interesados. - En tercer lugar, porque el 12 de septiembre de 2014, los miembros del Comité de Empresa solicitaron que se materializaran las propuestas que realizaron a la empresa el 14 de julio, como el que la empresa manifestara «de forma clara explícita y documentada que las medidas de control instaladas (reloj de control horario y GPS en los vehículos) no tendrían un fin sancionador». Se adjunta correo electrónico de 12 de septiembre, ya aportado en las anteriores alegaciones, último párrafo, como DOCUMENTO N°2. Este hecho demuestra que la empresa sí informó a los trabajadores de la finalidad de la recogida de las huellas. Tanto es así que los representantes de los trabajadores exigen que quede por escrito que el reloj de control de horario no iba a tener un fin sancionador. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/15 En consecuencia, esta parte considera que no puede mantenerse la afirmación de que la empresa no informó previamente a sus trabajadores de que el sistema de control mediante huella digital podía ser utilizado para el control laboral o el control horario de sus trabajadores ya que, como se reconoce tácitamente en el correo electrónico sí que informó de su finalidad, negando que fuera a utilizarse para el control horario o el control laboral de los trabajadores”. HECHOS PROBADOS PRIMERO: Con fecha 16 de junio de 2014, tuvo entrada en esta Agencia un escrito de A.A.A. (que dice actuar en representación de los trabajadores de Elecnor SA en el aeropuerto de Málaga y en calidad de delegado de personal de la empresa ELECNOR, SA en el servicio de Climatización Contraincendios y Tratamiento de aguas en el aeropuerto de Málaga) contra ELECNOR, S.A. por el incumplimiento de la normativa de protección de datos al solicitar, desde el 21 de mayo de 2014, la huella dactilar de los trabajadores que prestan servicios en el Departamento de Mantenimiento para Andalucía de la empresa Elecnor (folios 1-4). SEGUNDO: A la vista de la información que obra en el expediente y según las manifestaciones del propio denunciante, las huellas digitales de los trabajadores fueron captadas, al menos, entre el 21 y el 23 de mayo de 2014 (folio 1) TERCERO: En el Registro General de Protección de Datos se verifica que el fichero que tiene inscrito Elecnor, S.A. relativo a sus empleados no consta como dato recabado la huella digital (folio 11). CUARTO: Elecnor ha manifestado que el sistema permite identificar a los empleados mediante su huella digital. El sistema no guarda una imagen de la huella sino los terminales de registro a través de un software específico, envía un algoritmo al sistema de control que es el que identifica a la persona (folios 24 y 30-31). QUINTO: Consta un “Comunicado de Control Horario de Presencia del Personal de Elecnor en el Aeropuerto de Málaga”, sin fechar, en el que se recoge lo siguiente: “Como es sabido por los trabajadores de Elecnor de este centro de trabajo, se ha instalado hace varios días un control de presencia biométrico, para lo cual, se han grabado en el equipo los datos de los trabajadores con el fin de asegurar el correcto funcionamiento del equipo. Tras haberse reservado un período de tiempo, en el que se han resuelto las dudas que ha suscitado esta medida entre el personal se establece que a partir del próximo 12 de Junio del 2014, todos los trabajadores deberán hacer uso del Control Biométrico al acceder y abandonar su puesto trabajo. A su vez se pide a los trabajadores cuyos datos no se han tomado se sirvan de ponerse en contacto con la oficina de SMI para proceder a darles de alta. En cualquier caso, se seguirán resolviendo las dudas y suspicacias que puedan tener los trabajadores del Centro de Trabajo” (folio 58) C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/15 SEXTO: No consta acreditado que Elecnor informara previamente a sus trabajadores de que los datos personales obtenidos por medio del sistema de recogida de huella digital podrían ser usados para el control laboral de los mismos. SÉPTIMO: Sin embargo, tampoco consta acreditado que Elecnor haya utilizado dicho sistema de recogida de huella digital fuera del período de pruebas (entre los días 21 a 24 de mayo de 2014), ni que hubiera utilizado dichos datos para el control laboral de los trabajadores. OCTAVO: Elecnor ha aportado copia del procedimiento establecido para informar a los trabajadores en el momento de la firma del contrato, pero los documentos aportados datan de enero de 2015 (folios 33-37). NOVENO: Elecnor ha manifestado su intención de rectificar la situación en aras de preservar el derecho de información de sus trabajadores, comprometiéndose a enviar una nueva comunicación individual a los trabajadores y a incluir una cláusula de información adecuada en los contratos de trabajo. Con fecha 13/05/2015, Elecnor ha aportado modelo de la nueva comunicación individual a los trabajadores que prestan servicio en el Departamento de Mantenimiento para Andalucía de la empresa y de la cláusula de protección de datos incorporada a los contratos de trabajo de Elecnor (folios 26-27, y 76-82). FUNDAMENTOS DE DERECHO I Es competente para resolver este procedimiento la Directora de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 37.
  3. g)en relación con el artículo 36 de la LOPD. II Procede en primer lugar contestar a las manifestaciones del denunciante sobre la negativa de los trabajadores a la recogida de los datos biométricos y/o de la huella digital por parte de la entidad ELECNOR, S.A. A este respecto, como se recoge en el informe de la Agencia Española de Protección de Datos sobre “Tratamiento de la huella digital de los trabajadores”, hay que señalar que son datos biométricos “aquellos aspectos físicos que, mediante un análisis técnico, permiten distinguir las singularidades que concurren respecto de dichos aspectos y que, resultando imposible la coincidencia de tales aspectos en dos individuos, una vez procesados, permiten servir para identificar al individuo en cuestión. Así se emplean para tales fines la recogida de datos referentes a las huellas digitales, al iris del ojo, la voz, etc.). El artículo 3.
  4. a)de la LOPD, define los datos de carácter personal como “cualquier información concerniente a personas físicas identificadas o identificables”. En este C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/15 sentido, debe indicarse que, si bien el procesado de los datos biométricos no revela nuevas características referentes al comportamiento de las personas, sí permite, lógicamente, su identificación, por lo que resulta evidente que, en caso de procederse a su tratamiento, dicho tratamiento deberá ajustarse a la LOPD.” “Se entendió por esta Agencia de Protección de Datos que los datos biométricos tenían la condición de datos de carácter personal y que, dado que los mismos no contienen ningún aspecto concreto de la personalidad, limitando su función a identificar a un sujeto cuando la información se vincula a éste, su tratamiento no tendrá mayor trascendencia que el de los datos relativos a un número de identificación personal, a una ficha que tan solo pueda utilizar una persona o a la combinación de ambos”. Concluye el informe que “el fichero quedaba sometido a las demás disposiciones de la LOPD, en cuanto a su creación y funcionamiento, siendo necesario informar a los interesados de su existencia y de los demás extremos a que se refiere el artículo 5.1 de la LOPD.” III Se imputa a la entidad ELECNOR, S.A. la posible comisión de una infracción del artículo 5 de la Ley Orgánica 15/1999, que dispone lo siguiente: “1. Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:
  5. a)De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.
  6. b)Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
  7. c)De las consecuencias de la obtención de los datos o de la negativa a suministrarlos
  8. d)De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.
  9. e)De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Cuando el responsable del tratamiento no esté establecido en el territorio de la Unión Europea y utilice en el tratamiento de datos medios situados en territorio español, deberá designar, salvo que tales medios se utilicen con fines de tránsito, un representante en España, sin perjuicio de las acciones que pudieran emprenderse contra el propio responsable del tratamiento. 2. Cuando se utilicen cuestionarios u otros impresos para la recogida, figurarán en los mismos, en forma claramente legible, las advertencias a que se refiere el apartado anterior. 3. No será necesaria la información a que se refieren las letras b),
  10. c)y
  11. d)del apartado 1 si el contenido de ella se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban. (...)”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/15 La obligación que impone el artículo 5 de la LOPD es, por tanto, la de informar al afectado en la recogida de datos pues sólo así queda garantizado el derecho del mismo a tener una apropiada información y a consentir o no el tratamiento, en función de aquélla. Así, de acuerdo con lo establecido en el artículo 5 transcrito, la entidad denunciada debe informar a los interesados de los que recabe datos sobre los extremos establecidos en el aludido artículo. La información a la que se refiere el artículo 5.1 de la LOPD debe suministrarse a los afectados previamente a la solicitud de sus datos personales, y deberá ser expresa, precisa e inequívoca. Por su parte el artículo 4.1 de la LOPD concreta las finalidades para las que pueden recabarse y tratarse los datos personales exigiendo, a diferencia de la hoy derogada Ley Orgánica 5/1992, de 29 de octubre de Regulación del Tratamiento Automatizado de los Datos de Carácter Personal, que sólo se refería a finalidades “legítimas”, que las mismas sean “determinadas, explícitas y legítimas”. En este sentido, la Sentencia del Tribunal Constitucional 292/2000, de 30 de noviembre, que delimita el contenido esencial del derecho fundamental a la protección de los datos personales, se ha pronunciado sobre la vinculación entre el consentimiento y la finalidad para el tratamiento de los datos personales, en los siguientes términos: “el derecho a consentir la recogida y el tratamiento de los datos personales ( art. 6 LOPD) no implica en modo alguno consentir la cesión de tales datos a terceros, pues constituye una facultad específica que también forma parte del contenido del derecho fundamental a la protección de datos. Y, por tanto, la cesión de los mismos a un tercero para proceder a un tratamiento con fines distintos de los que originaron su recogida, aún cuando puedan ser compatibles con éstos (art. 4.2 LOPD), supone una nueva posesión y uso que requiere el consentimiento del interesado. Una facultad que solo cabe limitar en atención a derechos y bienes de relevancia constitucional y, por tanto, esté justificada, sea proporcionada y, además, se establezca por ley, pues el derecho fundamental a la protección de datos personales no admite otros límites. De otro lado, es evidente que el interesado debe ser informado tanto de la posibilidad de cesión de sus datos personales y sus circunstancias como del destino de éstos, pues sólo así será eficaz su derecho a consentir, en cuanto facultad esencial de su derecho a controlar y disponer de sus datos concreta. Pues en otro caso sería fácil al responsable del fichero soslayar el consentimiento del interesado mediante la genérica información de que sus datos pueden ser cedidos. De suerte que, sin la garantía que supone el derecho a una información apropiada mediante el cumplimiento de determinados requisitos legales (art. 5 LOPD) quedaría sin duda frustrado el derecho del interesado a controlar y disponer de sus datos personales, pues es claro que le impedirían ejercer otras facultades que se integran en el contenido del derecho fundamental al que estamos haciendo referencia”. De lo expuesto cabe concluir que la vigente LOPD ha acentuado las garantías precisas para el tratamiento de los datos personales en lo relativo a los requisitos del consentimiento, de la información previa a éste, y de las finalidades para las que los datos pueden ser recabados y tratados. La citada Sentencia del Tribunal Constitucional 292/2000, al delimitar el contenido esencial del derecho fundamental a la protección de los datos personales, ha C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/15 considerado el derecho de información como un elemento indispensable del derecho fundamental a la protección de datos al declarar que “…el contenido del derecho fundamental a la protección de datos consiste en un poder de disposición y de control sobre los datos personales que faculta a la persona para decidir cuáles de esos datos proporcionar a un tercero, sea el Estado o un particular, o cuáles puede este tercero recabar, y que también permite al individuo saber quién posee esos datos personales y para qué, pudiendo oponerse a esa posesión o uso. Estos poderes de disposición y control sobre los datos personales, que constituyen parte del contenido del derecho fundamental a la protección de datos se concretan jurídicamente en la facultad de consentir la recogida, la obtención y el acceso a los datos personales, su posterior almacenamiento y tratamiento, así como su uso o usos posibles, por un tercero, sea el Estado o un particular. Y ese derecho a consentir el conocimiento y el tratamiento, informático o no, de los datos personales, requiere como complementos indispensables, por un lado, la facultad de saber en todo momento quién dispone de esos datos personales y a qué uso los está sometiendo, y, por otro lado, el poder oponerse a esa posesión y usos. En fin, son elementos característicos de la definición constitucional del derecho fundamental a la protección de datos personales los derechos del afectado a consentir sobre la recogida y uso de sus datos personales y a saber de los mismos. Y resultan indispensables para hacer efectivo ese contenido el reconocimiento del derecho a ser informado de quién posee sus datos personales y con qué fin, y, el derecho a poder oponerse a esa posesión y uso requiriendo a quien corresponda que ponga fin a la posesión y empleo de los datos. Es decir, exigiendo del titular del fichero que le informe de qué datos posee sobre su persona, accediendo a sus oportunos registros y asientos, y qué destino han tenido, lo que alcanza también a posibles cesionarios; y, en su caso, requerirle para que rectifique o los cancele”. IV Por otro lado, y en el supuesto de que dicha información pudiera utilizarse para el control laboral de los trabajadores, entre todas las cuestiones de que debe informarse previamente a la obtención de los datos se encuentra la finalidad de la recogida, cuestión de especial importancia en un caso como este en que una de las finalidades potenciales del sistema denunciado es la del control laboral. Finalidad de la que deberán ser informados previa, expresa, precisa e inequívocamente los afectados a quienes se soliciten datos como los aquí planteados. Respecto de esta cuestión del control laboral del empleado se debe tener en cuenta el debido equilibrio entre las facultades que le son reconocidas al empleador en el artículo 20.3 del E.T. y los derechos que le son reconocidos al trabajador en el artículo 4.2.
  12. e)del E.T. que reconoce al trabajador el derecho “al respeto de su intimidad y a la consideración debida a su dignidad”. Y el artículo 20.3 del E.T. recoge que: “3. El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para la verificación del cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a la dignidad humana y teniendo en cuenta la capacidad real de los trabajadores disminuidos en su caso”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/15 El artículo 20.3 del Estatuto de los Trabajadores faculta al empresario para adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana. La legitimación prevista en el artículo 20.3 del ET permite el tratamiento de los datos de carácter personal con esta finalidad del control laboral sin necesidad del consentimiento inequívoco del afectado, según la excepción prevista en el artículo 6 de la LOPD, que, de nuevo, tampoco exime al empleador de la obligación de informar de dicho tratamiento a los trabajadores. V En el presente caso, no consta acreditado que ELECNOR, S.A. hubiera informado previamente a sus trabajadores de que el sistema de control mediante huella digital podía ser utilizado para el control laboral o el control horario de sus trabajadores. (Hecho Probado 6). Por tanto, Elecnor recabó datos personales sin facilitar a los trabajadores la información que señala el artículo 5 de la LOPD, por lo que debe considerarse que ha incurrido en la infracción leve descrita. Sin embargo, tampoco consta acreditado que Elecnor haya utilizado dicho sistema de recogida de huella digital fuera del período de pruebas (entre los días 21 a 24 de mayo de 2014), ni que hubiera utilizado dichos datos para el control laboral de los trabajadores (Hecho Probado 7). VI En sus alegaciones al Acuerdo de Inicio y a la Propuesta de resolución Elecnor ha manifestado que informó del sistema de control laboral o control horario mediante un correo electrónico enviado a los representantes sindicales en fecha 12 de septiembre de 2014, cuya copia adjunta (folios 66 y 140). Sin embargo, procede señalar que en dichos correos no se hace mención alguna al sistema de control por huella digital, aludiendo exclusivamente a que “las medidas de control instaladas (reloj de control horario y GPS en vehículos) no tendrán un fin sancionador. Por otra parte, las huellas digitales de los trabajadores fueron captadas, al menos, desde los días 21 y 23 de mayo de 2014 (Hecho Probado Segundo), por lo que la supuesta información no habría sido previa a la captación de los datos. Por lo tanto, dichas alegaciones deben ser desestimadas. VII Esta infracción aparece tipificada como leve en el artículo 44.2.
  13. c)de la LOPD, que considera como tal, “El incumplimiento del deber de información al afectado acerca del tratamiento de sus datos de carácter personal cuando los datos sean recabados del propio interesado”. En función de lo expuesto cabe apreciar la existencia de la infracción denunciada por cuanto Elecnor recabó datos personales relativos a la huella digital sin haber informado previamente a sus trabajadores de que el sistema de control mediante huella C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/15 digital podía ser utilizado para el control laboral o el control horario de sus trabajadores VIII Según el artículo 45.1 de la LOPD, “las infracciones leves serán sancionadas con multa de 900 a 40.000 euros”. El apartado 4 del mismo artículo establece que: “4. La cuantía de las sanciones se graduará atendiendo a los siguientes criterios: a. El carácter continuado de la infracción. b. El volumen de los tratamientos efectuados. c. La vinculación de la actividad del infractor con la realización de tratamientos de datos de carácter personal. d. El volumen de negocio o actividad del infractor. e. Los beneficios obtenidos como consecuencia de la comisión de la infracción. f. El grado de intencionalidad. g. La reincidencia por comisión de infracciones de la misma naturaleza. h. La naturaleza de los perjuicios causados a las personas interesadas o a terceras personas. i. La acreditación de que con anterioridad a los hechos constitutivos de infracción la entidad imputada tenía implantados procedimientos adecuados de actuación en la recogida y tratamiento de Ios datos de carácter personal, siendo la infracción consecuencia de una anomalía en el funcionamiento de dichos procedimientos no debida a una falta de diligencia exigible al infractor. j. Cualquier otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. De conformidad con el análisis realizado se ha incurrido en la infracción descrita. Así, ha quedado acreditado que a la entidad ELECNOR, S.A. recabó datos personales relativos a la huella digital sin haber informado previamente a sus trabajadores de que el sistema de control mediante huella digital podía ser utilizado para el control laboral o el control horario de sus trabajadores, constituyendo tal conducta la infracción leve tipificada en el artículo 44.2.c). Respecto de los criterios que recoge el art. 45.4 relativos a la aplicación del principio de proporcionalidad en la graduación del importe de la sanción, y según las indicaciones del art. 131.3 de la LRJPAC (Ley 30/92 de 26 de noviembre), que establece: “en la determinación normativa del régimen sancionador, así como en la imposición de sanciones por las Administraciones Públicas se deberá guardar la debida adecuación entre la gravedad del hecho constitutivo de la infracción y la sanción C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/15 aplicada, considerándose especialmente los siguientes criterios para la graduación de la sanción a aplicar:
  14. a)la existencia de intencionalidad o reiteración,
  15. b)la naturaleza de los perjuicios causados,
  16. c)la reincidencia”. Por tanto, de la secuencia de hechos expuesta en esta resolución, valorada en aplicación de dichos criterios, toda vez que se ha constatado la comisión de la infracción imputada, y teniendo en cuenta que no consta acreditado que Elecnor hubiera utilizado dicho sistema de recogida de huella digital fuera del período de pruebas (entre los días 21 a 24 de mayo de 2014), ni que hubiera utilizado dichos datos para el control laboral de los trabajadores (Hecho Probado 7), así como la diligencia acreditada en adoptar las medidas pertinentes para evitar una nueva infracción del artículo 5 de la LOPD permiten que en este caso se considere procedente la imposición de una sanción en la cuantía de 1.300 euros por la infracción leve imputada en el artículo 44.2.
  17. c)de la citada LOPD. Vistos los preceptos citados y demás de general aplicación, La Directora de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: IMPONER a la entidad ELECNOR, S.A. , por una infracción del artículo 5.1 de la LOD, tipificada como leve en el artículo 44.2.
  18. c)de la LOPD, una multa 1.300 (mil trescientos euros), de conformidad con lo establecido en el artículo 45.2, 4 y 5 de la citada LOPD. SEGUNDO: NOTIFICAR la presente resolución a ELECNOR, S.A. , y a Don A.A.A. . TERCERO: Advertir al sancionado que la sanción impuesta deberá hacerla efectiva en el plazo de pago voluntario que señala el artículo 68 del Reglamento General de Recaudación, aprobado por Real Decreto 939/2005, de 29 de julio, en relación con el art. 62 de la Ley 58/2003, de 17 de diciembre, mediante su ingreso en la cuenta restringida nº ES00 0000 0000 0000 0000 0000 abierta a nombre de la Agencia Española de Protección de Datos en el Banco CAIXABANK, S.A. o en caso contrario, se procederá a su recaudación en período ejecutivo. Si recibe la notificación entre los días 1 y 15 de cada mes, ambos inclusive, el plazo para efectuar el pago voluntario será hasta el día 20 del mes siguiente o inmediato hábil posterior, y si recibe la notificación entre los días 16 y último de cada mes, ambos inclusive, el plazo del pago será hasta el 5 del segundo mes siguiente o inmediato hábil posterior. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/15 Contra esta resolución, que pone fin a la vía administrativa (artículo 48.2 de la LOPD), y de conformidad con lo establecido en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución, o, directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 del referido texto legal. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.