PS-00361-2023

1/60  Expediente N.º: EXP202212247  RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes SEGUNDO: Traslado de la reclamación.....................................................................2 TERCERO: Respuesta al traslado de la reclamación.................................................3 CUARTO: Realización de actuaciones previas de investigación................................5 QUINTO: Diligencia AXESOR....................................................................................9 SEXTO: Diligencias Registro Mercantil y AXESOR....................................................9 SÉPTIMO: Acuerdo de inicio firmado por la directora de la AEPD...........................10 OCTAVO: Alegaciones de la reclamada de 5/01/2024..............................................10 NOVENO: Con fecha de 23/10/2024, se emite propuesta de resolución, del literal: 14 DÉCIMO: Alegaciones a la propuesta de resolución................................................14 HECHOS PROBADOS................................................................................................16 PRIMERO:............................................................................................................... 16 SEGUNDO:.............................................................................................................. 16 TERCERO:............................................................................................................... 16 CUARTO:................................................................................................................. 16 QUINTO:.................................................................................................................. 17 SEXTO:.................................................................................................................... 17 SÉPTIMO:................................................................................................................ 17 OCTAVO:.................................................................................................................. 18 NOVENO:................................................................................................................. 19 DÉCIMO:.................................................................................................................. 19 FUNDAMENTOS DE DERECHO.................................................................................19 I Competencia.......................................................................................................19 II Definición de datos biométricos y de carácter personal.....................................19 III Objeto y finalidad del tratamiento......................................................................27 IV Tratamiento de datos biométricos: legitimación................................................29 V Evaluación de impacto de protección de datos (EIPD)......................................31 VI Respuesta a las alegaciones a la infracción del artículo 35 del RGPD.............37 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/60 VII Ejercicio del derecho de acceso y consecuencias de su falta de atención......44 VIII Calificación y Tipificación de las infracciones.................................................48 IX Determinación de las sanciones.......................................................................49 X Adopción de medidas........................................................................................57 RESUELVE:................................................................................................................. 58 PRIMERO: Presentación de la reclamación A.A.A. (en adelante, la parte reclamante) con fecha 11/10/2022, interpuso reclamación ante la Agencia Española de Protección de Datos. La reclamación se dirige contra CARTONAJES BAÑERES, S.A. con NIF A03009263 (en adelante, CB). Los motivos en que basa la reclamación son los siguientes: La parte reclamante manifiesta que CB “realiza una fotografía de la cara de los empleados desde un dispositivo situado en la entrada” y que (…) le indica que esa foto se emplea únicamente para la ficha de los empleados y que, “no se guarda la cara”. Aporta captura de pantalla de una conversación por WhatsApp, (...), no se aprecia fecha, del siguiente tenor: - “lo de la ficha ¿es lo de la cara?, porque me gustaría fichar sin datos biométricos. ¿Hay tarjetas o algo así?, - “No, debe ser la cara, -…los datos biométricos me generan cierta incomodidad” - No guarda la cara tranquilo” Además, el reclamante solicitó el acceso a sus datos personales en fecha 29/08/2022, (con copia de sus datos objeto de tratamiento) especificando fines y categoría de datos, manifestando no haber obtenido respuesta hasta la fecha ni en correo postal ni en el correo electrónico. Se aporta, copia de la solicitud cursada, haciendo constar un correo electrónico: (…), y su dirección en ***DIRECCIÓN.1, “para que se remita a la dirección indicada” como contacto, constando acuse de recibo de CB de 29/08/22. Indica el reclamante que en respuesta a una información “que hago llegar a la empresa, me indica a través de un correo electrónico con fecha 14/09, que están al tanto de mi solicitud de información y que la dirección de CB contactará para dar cumplimiento a su solicitud en relación a la P.D.C.P.” Aporta en documento 3 la copia de dicho correo electrónico desde una dirección (...) y el logo de esa entidad. Añade el reclamante que no se informa del uso de la imagen. SEGUNDO: Traslado de la reclamación. De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), se dio C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/60 traslado de dicha reclamación a la parte reclamada, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP), fue recogido en fecha 22/11/2022, como consta en el acuse de recibo que obra en el expediente. TERCERO: Respuesta al traslado de la reclamación Con fecha 22/12/2022, se recibe escrito de CB en el que su representante, aporta poder notarial de 7/07/2022, en el que se recoge que: “comparece la persona designada por SAICA PACK SL, domiciliada en Avda. San Juan de la Peña 144, B50035179, Zaragoza, como “administradora única en nombre y representación de CB…” que otorga poder a la persona designada como representante de CB, manifestando: 1) El reclamante fue trabajador de la entidad de ***FECHA.1. Les consta que ejercicio del derecho de acceso, aporta copia (documento 2) en el que firma también el preaviso de baja voluntaria de la empresa el (...), indicando que, respetando el preaviso, su último día de trabajo es el 12/09. 2) “no obtiene una fotografía de la cara de los empleados desde un dispositivo de la entrada de la compañía, como manifiesta el reclamante”, sino que “Los datos biométricos que se utilizan en la planta se obtienen a través de un dispositivo que sirve para que los empleados fichen a la entrada y salida de las instalaciones. Este dispositivo, no realiza una fotografía de ningún trabajador, sino que realiza una triangulación de ojos-boca-nariz y conteo de pixeles que permiten la identificación de la persona”. La entidad manifiesta que “tras realizar la mencionada triangulación, el sistema remite a una página Excel la confirmación del fichaje del trabajador que contiene únicamente el nombre del trabajador, el día, y la hora, sin guardar ni transferir, dato biométrico alguno. “El fichero Excel con dichos datos es la única información que se conserva.” 3) La entidad señala que el trabajador fue informado del tratamiento de sus datos. Aporta copia del documento denominado “consentimiento e información sobre tratamiento de datos personales de los empleados”, edición 11/01/2022, firmado por el reclamante el 11/05/2022. Se inicia informando que CB es el responsable del tratamiento, agregando: - “lea las condiciones y firme el consentimiento”. “En caso de no facilitar su consentimiento expreso CB no podrá tratar sus datos personales para las finalidades recogidas en el mismo. Según el RGPD y la LOPDGDD, con la aceptación de las condiciones del tratamiento de datos personales recogidas en este documento, los interesados prestan su consentimiento expreso para que CB trate los datos facilitados en la ficha del trabajador conforme a las condiciones de tratamiento previamente aceptadas”. Hay que señalar que en el pie de firma figura “He leído y acepto las condiciones para el tratamiento de mis datos personales”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/60 A modo de apartados, figuran distintos epígrafes, por guardar relación con el objeto laboral se señalan como más significativos, los siguientes: - “Finalidad: gestionar la relación laboral entre trabajador y CB, como las necesarias para la elaboración del contrato, envío y pago de las nóminas, así como retenciones del IRPF. Control horario basado en la captación de huella digital del trabajador para el control del cumplimiento de la jornada laboral.” - “Legitimación”: Alude a las disposiciones normativas aplicables en gestión de nóminas y a: “elaboración de contrato. La comunicación de datos personales es un requisito necesario para poder llevar a cabo el alta del empleado”. - “OBLIGACION DE COMUNICACIÓN” consta que “La comunicación de los datos personales es un requisito necesario para poder llevar a cabo el alta del empleado/a, en caso de no dar su consentimiento expreso al tratamiento no podrá realizarse la contratación” - “Categorías de datos”: Entre otros, destaca: “imágenes: fotografía-escaneo facial”. En el apartado “derechos”, se informa entre otros medios de su ejercicio, a través del envío a las oficinas por correo postal o entrega en las oficinas. La entidad manifiesta que el reclamante fue informado del tratamiento de sus datos, entre ellos de los biométricos, y “prestó su consentimiento expreso para ello.” 4) Sobre la base jurídica del tratamiento y la circunstancia que levanta la prohibición para tratar categorías especiales de datos, según el artículo 9 del RGPD y la finalidad del tratamiento, indica CB que aporta “los ficheros declarados a la AEPD en 2011”, que trata de un escrito de la AEPD en el que le comunicó el 22/06/2011 la inscripción de ficheros. Señala CB que se correspondería con el denominado “nominas, personal y recursos humanos” constando en finalidad “recursos humanos, gestión de nóminas, prevención de riesgos laborales, otro tipo de finalidad” sin que figure en el tipo de datos mención alguna a los de tipo biométrico. 5) En relación a las garantías adecuadas implementadas para la protección de derechos y libertades de las personas, CB aporta escrito de “política de privacidad” publicado en su página web que alude a la información que se da a usuarios que proporcionen datos en el sitio web, así como a cuestionarios que se cumplimenten. En relación con la solicitud de acceso, CB, manifiesta, según la copia que adjuntan en documento 1, le remitieron un correo electrónico desde la entidad denominada SAICA, informando que se ha iniciado su tramitación, y que, en los quince días siguientes a la recepción de la solicitud por el reclamante, se redactaría la contestación a remitir al trabajador. Adjuntan el documento de 15/09/2022, de respuesta que señala en el cuerpo del escrito que se le manda por medio de este burofax en el que le informa de que los datos que figuran en la entidad son los “básicos de la relación laboral”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/60 “nombre, apellidos, dirección, teléfono, DNI, fecha de nacimiento, numero de afiliación, para el cumplimiento de las obligaciones laborales.” No obstante, intentaron conectar para la entrega de la información solicitada tanto telefónicamente como por WhatsApp, sin que acudiera a recogerlo. Por ello, con fecha 9/12/2022, se remitió escrito de contestación a la solicitud de acceso por burofax. La entidad ha aportado copia del burofax que figura enviado el 9/12/2022. Se aprecia que el burofax inicia con “Le damos contestación a su escrito de fecha 29 de agosto del 2022 por medio de este burofax, dado que no pasó a recoger esta comunicación durante el mes de septiembre como usted nos indicó”. El burofax va dirigido a una dirección diferente a la que el reclamante hizo constar en su solicitud, desconociendo el motivo. Además, no se menciona el dato del reconocimiento facial para el control laboral llevado a cabo. 6) Sobre la Evaluación de Impacto de las operaciones de tratamiento en la protección de datos personales, realizado o motivos por los que no se ha realizado, no se dio respuesta. 7) En relación con las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles para verificar la eficacia, responden que el procedimiento es adecuado, pues “al contratarse a un trabajador, se recoge el consentimiento informado, indicándole los tratamientos de sus datos”, y al extinguir la relación, se eliminan los datos. 8) En relación con la decisión adoptada con esta reclamación, señala CB que “elaboró y comunicó la contestación sobre la reclamación al trabajador y se eliminaron sus datos, salvo los que se han de conservar por Ley”, y “respecto sus datos biométricos, fueron borrados del sistema”. TERCERO: Admisión a trámite de la reclamación. Con fecha 11/01/2023, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. CUARTO: Realización de actuaciones previas de investigación. La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD, teniendo conocimiento de los siguientes extremos: Con fecha 31/05/2023, se realiza una inspección presencial en el establecimiento de CARTONAJES BAÑERES, ubicada en Polígono Industrial Barrio Les Molines, 22, 03450, Banyeres de Mariola, Alicante de la que se desprende: 1. Se manifiesta por los inspeccionados que CARTONAJES BAÑERES, S.A. “fue adquirida por SAICA PACK S.L. el 7/07/2022”, entidad con domicilio social en Zaragoza. Se aporta C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/60 copia de la escritura notarial de compraventa de acciones nominativas que representan el 98,52% del capital social de CB. 2. Manifiestan los inspeccionados, que con fecha 6/05/2022, se celebró el acta de la constitución del COMITÉ DE DELEGADOS DE PROTECCION DE DATOS del GRUPO SAICA, (CDPD en lo sucesivo). Como reuniones a destacar del CDPD, son señaladas, las de: - 19/10/2022, en la copia del documento que aporta (acta del CPD de 19/10/2022), en el acuerdo, 7 “dada la reciente adquisición por parte del grupo SAICA de la entidad CARTONAJES BAÑERES, se acuerda revisar la situación de la citada compañía en lo relativo a la Protección de Datos. Igualmente, se acuerda recomendar a la compañía que proceda de forma inmediata a la sustitución del sistema de fichajes dado que el actual emplea datos biométricos.” -20/01/2023, según la copia del documento que aporta (acta del CPD de 20/01/2023 documento 5), en el acuerdo segundo, se recoge: “orden del día” “adecuación del control e empleados al Reglamento 2016/679 “y que, “se revisan los requerimientos recibidos de la AEPD por la denuncia interpuesta por un antiguo empleado de CB, hoy mercantil del Grupo”, “ desde que se adquirió la compañía se está trabajando en la supresión del sistema de identificación actual de los empleados y la implantación de un nuevo sistema que no precise datos biométricos”. “Igualmente consta iniciado el desarrollo de un plan de trabajo nuevo y auditado por tercero independiente para la adecuación de la planta a las exigencias del Reglamento 2016/679” También se incluye en el punto tercero, que se acuerda sobre las solicitudes de acceso, que por el Comité se definan aspectos del plazo de respuesta, información que se ha de dar y período que la entidad ha de conservar, a fin de cumplir con las exigencias que la normativa establezca. 3. Aportan copia de: 3.1-documento de abril 23, “plan de elaboración del RAT y Auditoría RGPD” para CB, que consiste en una oferta de prestación de servicios referidas a la información, seguridad y protección de datos, firmada por CB el 28/04/2023. 3.2- presupuesto y pedido del nuevo sistema de fichaje de 14/03/2023, asunto “terminal y tarjetas para nueva planta de SAICA”, con petición de 175 tarjetas. 3.3- “Plan de implantación del sistema de fichajes” “plan de integración SAICA CARTONAJES BAÑERES” fecha inicial 20/03. Figuran las fases de desarrollo: Análisis y diseño, construcción y validación y puesta en productivo con los distintos responsables que las ejecutan y horas totales. La misma hoja en situación a 23 y otro a 25/05/2023. En fecha 29/05 figura “proyecto finalizado”. 3.4- “Comunicación interna del cambio de sistema de fichajes” de 25/05/2023, en el que se informa que, con fecha 29/05/2023, entrará en funcionamiento el nuevo sistema de fichaje mediante tarjeta individualizada, siguiendo el sistema estándar que se utiliza en todas las plantas del Grupo SAICA. Se recuerda que “el tratamiento de datos personales de los empleados es necesario para el cumplimiento de una obligación legal derivada del contrato C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/60 de trabajo con finalidad de cumplimiento de la misma y de las obligaciones derivadas de dicha relación laboral.” A este respecto, el Servicio de Inspección de la Agencia comprueba que, en el momento de la inspección, el reloj para el fichaje solicita una tarjeta identificativa del empleado y una vez realizado el contacto, se debe teclear si es entrada o salida. 3.5-DOCUMENTACIÓN SOBRE “ANTIGUO SISTEMA DE FICHAJES”, titulada “tratamiento biométrico facial”, firmada por la empresa SABACOINSA SL, sin fecha, conteniéndose como destacado: 3.5.1- El “terminal de reconocimiento facial 3D”, era de la marca ***MARCA.1 y utilizaba un lector de reconocimiento facial patentado denominado (...), con tasa de falsa aceptación (FAR false acceptance rate), menor del 0,001%, y una (FRR false rejection rate), menor de 1%, “algoritmo (...)” 3.5.2- En “modo de captación de patrón biométrico”, se indica que: “La captación del patrón biométrico se basa en tomar varias imágenes de la cara y mediante un algoritmo matemático generar un patrón. Este algoritmo de encriptación ((...) algorythm) genera una plantilla representativa de dicho patrón (hash) y se almacena en el equipo y en el software para poder hacer la identificación biométrica”. Aporta una larga lista de secuencias de números, letras y signos alternados, de lo que sería un “hash (patrón biométrico)”. 3.5.3- “Es imposible obtener la imagen real del rostro con el patrón almacenado en el terminal, ya que no se guarda ninguna imagen del rostro, sino que se establece una relación matemática entre determinados puntos de la misma-singularidades, puntos característicosdando lugar a un conjunto de números que servirá después para identificar de manera inequívoca a cada persona”. No es posible obtener la imagen de un rostro con el hash almacenado. Este procedimiento consiste en la verificación de una persona por un sistema biométrico de comparación con sus datos biométricos adquiridos en el momento de la verificación con un hash almacenado en el equipo. El proceso de búsqueda es de uno-a-uno.“ “el procedimiento está configurado según los criterios establecidos por la Comisión Europea de Protección de Datos que autoriza una verificación/autenticación consistente en la verificación de un individuo por un sistema biométrico en comparación entre sus datos biométricos-adquiridos en el momento de la verificación-con una única plantilla biométrica almacenada en un dispositivo (es decir el proceso de búsqueda de correspondencia uno a uno). Los datos biométricos no se consideran de nivel especial en el caso de que la verificación/autenticación biométrica por plantillas de hash que establezcan verificaciones del hash de uno-a-uno, cumpliendo los criterios de los artículos 6 y 9 del Reglamento General de Protección de Datos.” …” Nuestro software de gestión PHUC Control almacena el hash (patrón biométrico) que nos proporciona el terminal de reconocimiento facial. Este hash se relaciona con el usuario final con el id de usuario en una tabla especial para los datos biométricos”. “Los datos biométricos se almacenan en la base de datos propia del software de control horario PHUC Control, ubicada en el servidor en las instalaciones del cliente.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/60 A este respecto, desde la Inspección de datos se ha comprobado que la empresa SABACOINSA (dirección web phuc.

1. es)cuenta entre sus productos soluciones de reconocimiento facial para el control de presencia de trabajadores. 3. Se plantea por el Servicio de Inspección de la Agencia, que en la documentación aportada a la Agencia en el transcurso de las actuaciones del traslado, AT/04915/2022, se ponía de manifiesto que “el dispositivo para el fichaje a la entrada y salida de los empleados realiza una “una triangulación de ojos-boca-nariz y conteo de los píxeles que permiten la identificación de la persona, y que una vez realizada la identificación se remite a una página Excel la confirmación del fichaje del trabajador que contiene únicamente el nombre del trabajador, el día, y la hora, sin guardar ni transferir dato biométrico alguno. El fichero con estos datos es la única información que se conserva. Los hashes se almacenaban en el propio sistema de reconocimiento facial. A este respecto, la entidad lo confirma y añade:
2. a)Ese era el funcionamiento del sistema de fichaje anterior ya que fue desinstalado como consecuencia de la reunión del Comité de Protección de Datos donde se requiere la implantación de un nuevo sistema de fichaje que se realiza en mayo de 2023.
3. b)Corrigen que el gestor de la base de datos donde se registran los fichajes de los trabajadores es Microsoft Access, no Microsoft Excel como se ha indicado en la documentación. 4. Se plantea por el Servicio de Inspección de la Agencia la manifestación que ya figura de que: “En caso de baja de un trabajador se elimina el hash del sistema de reconocimiento facial y los datos del fichero Acces de los fichajes se almacenan en un histórico”, y a este respecto manifiestan que “todos los fichajes de los trabajadores desde mayo de 2019 se conservan en un histórico al haberse implantado el nuevo sistema de fichaje”, y que los “hashes almacenados han sido destruidos”. Se aporta copia de un certificado de gestión de residuos SM0529 de la empresa WEE INTERNATIONAL RECYCLING SL, de 2/06/2023, indicándose que el 29/05/2023 recepcionaron en sus instalaciones procedentes de SAICA NATUR unos residuos, concepto “electrónica de consumo” y adjunta tres fotografías de lo que parece ser el lector de reconocimiento facial (se puede ver (…) en la foto de la izquierda), y otros dos elementos, uno de ellos abierto y desarmado. 6. En relación con el derecho de acceso solicitado ante la entidad por el reclamante, los representantes de la entidad exponen que se pusieron en contacto con el solicitante por WhatsApp para que acudiera a recoger la contestación y posteriormente, “lo remitieron por fax”. A este respecto aportan impresión de mensajes de WhatsApp mantenidos con el reclamante, en fecha 16/09/2022, según indican para concretar una cita para su recepción. En los mensajes, se puede ver que de lo que se trata es de que se le requiere al reclamante por parte de la empresa para que acuda a la misma a “firmar una carta en presencia del (…)” documento que no se define cual es, a pesar de insistir el reclamante que se le envíe antes por correo y en otro mensaje, manifiesta que sí se tratase de la respuesta a su solicitud no necesita que sea por el firmada. Figura referenciado en el documento 14. 7.Se solicita por el Servicio de Inspección de la Agencia el acceso a los datos de fichajes del reclamante, y se verifica que no figura ninguna información. 8.El Servicio de Inspección de la Agencia acompañado del personal inspeccionado, acceden al local donde se encuentra ubicado el sistema de gestión de fichajes de la antigua aplicación con reconocimiento facial, comprobando: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/60  El local cerrado con llave y dispone de un equipo de videovigilancia y detector de incendios.  El ordenador donde se encuentra instalada la aplicación está conectado a la Red local y utiliza el sistema operativo Windows 10. El gestor de la base de datos es Microsoft Access.  La identificación ante el ordenador es a través del código de usuario y contraseña definida en Windows y para el acceso a la aplicación se utiliza también usuario y contraseña, pero distintos al anterior. Únicamente el responsable de recursos humanos (actualmente responsable de producción) y el administrador del Sistema informático disponen de las credenciales de acceso a la aplicación. Se accede a la aplicación, verificando:  Se pueden visualizar los fichajes realizados por un usuario y los datos que constan corresponden a fecha y hora de entrada y salida. También figuran los festivos y las ausencias sin especificar el motivo.  La aplicación dispone de tablas que permiten consultar listados de fichajes de trabajadores con los datos de: nombre y apellidos, número de tarjeta, turnos, calendario y un indicador de estado de baja.  Los fichajes correspondientes al día 29 y 30/05/2023 figuran como “Ausente”. Los representantes de la entidad manifiestan que es debido a que el reloj asociado a este sistema fue dado de baja el 29/05/2023. Todo ello figura en documento 13 9. Los representantes de la entidad aportan copia de la siguiente documentación: - Documento 15, “Política de protección de Datos del Grupo SAICA- v.2 11/04/2022”. Figura en el apartado de “responsable del tratamiento”, que “En este documento, cualquier alusión al responsable vendrá referida a cada una de las sociedades que integran el GRUPO SAICA”, y en introducción consta que el documento tiene la finalidad de “poner en conocimiento del GRUPO SAICA la política interna que este lleva a cabo en cumplimiento del RGPD” - Documento 16: Management standard de privacidad. Se adjunta documento con impresión de pantalla de las comprobaciones realizadas QUINTO: Diligencia AXESOR Con fecha 6/06/2023, se realizó diligencia del Servicio de Inspección con la información obtenida en MONITORIZA.AXESOR.ES, siguiente: -De CARTONAJES BAÑERES, en estado activa, domicilio social en Alicante, capital social (...)€, mismo número de acciones, tipo de empresa “matriz de grupo”, 99 empleados, ventas (…) €. SEXTO: Diligencias Registro Mercantil y AXESOR Con fecha 30/08/2023, se obtiene y asocia al expediente: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/60
4. a)Inscripciones registrales del Registro Mercantil de CARTONAJES BAÑERES, S.A., NIF A03009263, figurando activa, y desde 1/08/2022, la inscripción, como ADMINISTRADOR ÚNICO, SAICA PACK SL, publicación 9/08/2022.
5. b)En axesor.es, informe de CARTONAJES BAÑERES, S.A. con los siguientes datos: -fecha de constitución 24/06/1957, tipo de empresa: matriz de grupo, estado: activa, capital social: (...)€, tamaño PYME mediana, - último ejercicio presentado 2021. -actividad fabricación de papel y cartón ondulados fabricación de envases y embalajes de papel y cartón. -ventas: (...)€. -(...). -cifra de negocios 2021: (...)€. -valor nominal (…)€. -figura como administrador único SAICA PACK SL, fecha de nombramiento 1/08/2023. -empresas filiales y asociadas ELECTRO MARIOLA SL, dos empleados.
6. a)En axesor.es, informe de SAICA PACK SOCIEDAD LIMITADA NIF: B50035179. -Tipo de Empresa: Filial de grupo. -Actividad: 1721 - Fabricación de papel y cartón ondulados; fabricación de envases y embalajes de papel y cartón. -Tamaño: Grande. -Empresa matriz: SOCIEDAD ANONIMA INDUSTRIAS CELULOSA ARAGONESA, que figura como accionista con participación de 99,99%. SÉPTIMO: Acuerdo de inicio firmado por la directora de la AEPD. Con fecha 15/12/2023, la directora de la AEPD acordó: “INICIAR PROCEDIMIENTO SANCIONADOR a CARTONAJES BAÑERES, S.A., con NIF A03009263, por la presunta infracción del RGPD en los siguientes artículos: -35, de conformidad con el artículo 83.4.
7. a)del RGPD y a efectos de prescripción de la infracción, calificada como grave en el artículo 73.
8. t)de la LOPDGDD. -12, de conformidad con el artículo 83.5.
9. b)del RGPD, y a efectos de prescripción de la infracción, calificada como muy grave en el artículo 72.1.
10. k)de la LOPDGDD” “a los efectos previstos en el art. 64.2
11. b)de la LPCAPAP, la sanción que pudiera corresponder sería de una multa administrativa de 200.000 euros, por la infracción del artículo 35 del C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/60 RGPD, y de una multa administrativa de 20.000 euros por la infracción del artículo 12 del RGPD, sumando un total de 220.000 euros, sin perjuicio de lo que resulte de la instrucción.” OCTAVO: Alegaciones de la reclamada de 5/01/2024. 1) Manifiesta la reclamada que el sistema de fichajes al que alude la reclamación se instauró en el año 2016, acompaña factura de 14/12/2016-“1 Terminal identificación facial, y 1 Software para control de presencia-PHUC Distribuidor Oficial”. En ese momento no se aplicaba la LOPDGDD ni el RGPD, diferenciando entre la entrada en vigor, a los veinte días de su publicación en el DOUE y su aplicación, a partir del 25/05/2018. “En el momento en que se implantó el sistema de fichajes no resultaba de aplicación dicha norma.” “En la anterior normativa de aplicación, la LOPD 15/1999, los datos biométricos no se configuraban como especialmente protegidos, ni exigía realizar una EIPD”. Además, añade que, una vez vigente el RGPD, no es exigible la realización de dicha evaluación de impacto, e inserta un enlace de la AEPD: (https://www.aepd.es/preguntas-frecuentes/2-rgpd/10-evaluacion-deimpacto/FAQ-0227-lostratamientos-iniciados-antes-de-la-aplicacion-del-rgpddeben-somterse-a-una-evaluaciondeimpacto#:~:text=No%2C%20el%20mandato%20del%20RGPD,comience%20a%2 0ser %20de%20aplicaci%C3%B3n) “Se vulnera el principio de irretroactividad de las disposiciones sancionadoras, art 9.3 de la CE. al sancionar una conducta con una norma que no estaba en vigor en el momento en el que se cometieron los hechos, atendiendo también al artículo 40 de la Ley 40/2015 de 1/10, de régimen jurídico del sector público, LRJSP sobre la aplicación de las disposiciones sancionadoras vigentes en el momento de producirse los hechos”. Pone la reclamada como ejemplo una sentencia de la Audiencia Nacional, de 14/05/2021, de la que no da más detalles que la transcripción de algún párrafo, coincidiendo en tal sentido con la de Sala de lo Contencioso-administrativo, Sección 1ª, Sentencia de 14/05/2021, Rec. 115/2020: Por tanto, se ha aplicado de manera retroactiva una normativa que no era aplicable cuando acontecieron los hechos sancionados. Debemos añadir que se podía haber aplicado la citada normativa si hubiese sido más favorable - art. 26.2 de la Ley 40/2015, de 1 de octubre-, pero como se señala en la Sentencia del Tribunal Supremo de 30 de octubre de 2009 -recurso nº. 334/2006, F.J.6º-, y, en igual sentido, en las Sentencias de dicho Tribunal de 12 y 26 de noviembre de 2020, recaídas respectivamente, en los recursos números 4.039/2019 y 5.285/2019: "[...] la aplicación retroactiva de la norma más beneficiosa ha de hacerse determinando que disposición es más favorable, mediante el contraste entre ambas, anterior y posterior, consideradas de modo global.... Y dicho contraste, no existe en las resoluciones impugnadas, en las que ni siquiera se hace mención alguna a la Ley Orgánica 15/1999, de 13 de diciembre, y en las que se aplica el RGPD y la Ley Orgánica 3/2018, de 5 de diciembre, como si fuese la normativa que estaba en vigor cuando sucedieron los hechos sancionados, en abril de 2018.” Entiende la reclamada que es de aplicación esta sentencia, porque en el año 2016 ni el RGPD, ni la LOPDGDD resultaban de aplicación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/60 Subsidiariamente, manifiesta la reclamada que, dado que la “instalación del sistema de fichajes tuvo lugar en 2016, la infracción habría prescrito a los dos años, teniendo en cuenta lo señalado en el artículo 73 de la LOPDGDD”. 2) Considera una falta de proporcionalidad de la sanción el no haber aplicado atenuante alguno. Estima que la afirmación de que “llegó un momento en que la reclamada determinó que no era adecuado y la mantuvo todavía algunos meses”, funcionando como agravante, no ha tenido en cuenta que “con carácter previo a que se iniciara ningún tipo de procedimiento contra la misma, se sustituyó el sistema de fichajes por uno en el que no se efectúa un tratamiento de datos biométricos. Una vez se constató la existencia de un problema respecto del sistema de fichajes, se llevaron a cabo los trámites necesarios para la sustitución del sistema, y la Administración no puede pretender que el cambio fuera de manera inmediata.” Añade que el 14/03/2023, se adquirió el sistema nuevo de fichajes, se estableció “un plan de proyecto para la sustitución del mismo” folios 335 a 336 del expediente, y a 31/05/2023, en que se produjo la inspección, ya se había sustituido el sistema. “La sustitución del sistema de fichajes, en ningún caso puede considerarse como una agravante”, estimando en cambio que se tenía que haber aplicado la atenuante del artículo 83.2.
12. f)del RGPD. -Además, manifiesta la reclamada que CARTONAJES BAÑERES SA fue adquirida por SAICA PACK el 7/07/2022, (98,52% de las acciones) es decir una vez que estaba instalado el sistema de acceso, siendo evidente que la reclamada había llevado a cabo actuaciones para evitar el empleo del sistema instalado, por lo que tampoco se ha aplicado la atenuante del artículo 83.2
13. b)del RGPD. -Añade que tampoco se aplica ninguna atenuante de los recogidos en el artículo 76 de la LOPDGDD de los cuales cita: - el b, por no existir ningún tipo de relación del infractor con la realización de tratamientos de datos personales. -El c, porque no se ha obtenido beneficio alguno. -El e, pues si bien no se llevó a cabo un proceso de absorción, sí que se adquirió el 98,52% de las acciones de CARTONAJES BAÑERES. -El f, no afectó a derechos de menores. “Al no aplicar ni un solo atenuante vulnera el principio de proporcionalidad”. -En cuanto a las agravantes aplicadas, indica que comparativamente con otros expedientes sancionadores con el mismo tipo de infracción, se han impuesto sanciones notablemente inferiores y aporta un cuadro de dichos procedimientos, comparando por empleados, cuantía impuesta y atenuantes/agravantes. 202100603, 20.000 asistentes, 200 Mil euros-Agravante: tipo de evento de asistencia masiva. 202209921, 500 trabajadores, 20 MIL euros-Atenuante 76.2.
14. b)(cuando se inició el PS se seguía manteniendo el sistema de fichajes que trataba datos biométricos). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/60 PS/00120/202135, (...), 90 mil trabajadores, incontables clientes y se incluyen menores, 50 MIL euros, “ocho agravantes, UNA atenuante: “No consta reincidencia”. -También considera que se utiliza un hecho y lo subsume en el tipo, y al mismo tiempo utiliza dicho hecho como circunstancia agravante, ya que estima que concurre negligencia y falta de diligencia por “haber implantado el sistema y no prever el impacto del mismo”, que precisamente, eso es lo que se tipifica como infracción, ya que lo que se sanciona es haber efectuado un tratamiento de datos biométricos sin haber efectuado la evaluación de impacto correspondiente. 3-Sobre la infracción del artículo 12 del RGPD, calificada como muy grave en el artículo 72.1k) del RGPD, indica que el mismo texto legal podría calificarse como grave, según el artículo 73.
15. c)de la LOPDGDD “El impedimento o la obstaculización o la no atención reiterada de los derechos de acceso, “rectificación, supresión, limitación del tratamiento o a la portabilidad de los datos en tratamientos en los que no se requiere la identificación del afectado, cuando este, para el ejercicio de esos derechos, haya facilitado información adicional que permita su identificación.” O bien, como leve, en el artículo 74.
16. c)de la LOPDGDD: “No atender las solicitudes de ejercicio de los derechos establecidos en los artículos 15 a 22 del Reglamento (UE) 2016/679, salvo que resultase de aplicación lo dispuesto en el artículo 72.1.
17. k)de esta ley orgánica.” “obviándose una serie de circunstancias que no justificarían la tipificación de la infracción como muy grave”: -con fecha 16/09/2022, “se le informó” al reclamante que tenía a su disposición la documentación solicitada, y el reclamante indicó que “no tenía problema en acercarse a recoger dicha documentación”. -El 19/09/2022, se le remitió un nuevo mensaje para que pasara a recoger la misma, indicando esta vez el reclamante que “en esos momentos tenía otras prioridades”, y que por eso no podía acudir. - Finalmente, “se le remitió un burofax el 9/12/2022”. Manifiesta la reclamada que, “si se examina la petición puede apreciarse que solamente indica la calle y el número y localidad, sin indicar piso ni puerta, siendo que vivía en un edificio de viviendas, por lo que su dirección era incompleta”, y lo “único que pudieron hacer fue remitirle el burofax a la única dirección válida de la que disponían.” Se solicitó en numerosas ocasiones al trabajador que acudiera al domicilio social, con lo que estuvo conforme, nunca acudió. Aun así, se le remitió un burofax a la dirección que disponían, dado que la dirección que había dado era incompleta. Entiende que no concurre la conducta que se tipifica como muy grave: -Considera que se vulnera el principio de proporcionalidad, mostrando como ejemplo el PS/369/2022 en que se impone la misma multa, existiendo las siguientes diferencias: -El caso a comparar contaba con cuatro agravantes, este con dos, aquel, tratando los datos del afectado sin haber sido cliente, allí se valora un atenuante, en este caso ninguna. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/60 -También en esta infracción, la Administración emplea un mismo hecho para tipificar la infracción y para aplicar la circunstancia agravante, ya que se estima que concurre negligencia y falta de diligencia por las citaciones efectuadas por WhatsApp y por el burofax remitido a otra dirección de la indicada, pero a su vez, dichas circunstancias se tienen en cuenta para tipificar la infracción como muy grave y no como grave o leve. 4-Finaliza indicando que, a raíz de lo expuesto, el acuerdo de inicio se ha dictado prescindiendo total y absolutamente del procedimiento legalmente establecido, por lo que procede sea declarado nulo según el artículo 47.1.
18. e)de la LPACAP o subsidiariamente anulable según el artículo 48 de la misma Ley. NOVENO: Con fecha de 23/10/2024, se emite propuesta de resolución, del literal: “PRIMERO: Que por la Directora de la Agencia Española de Protección de Datos se sancione a CARTONAJES BAÑERES, S.A., con NIF A03009263, por la infracción del RGPD en sus artículos: - 35, de conformidad con el artículo 83.4
19. a)del RGPD, y a efectos de prescripción de la infracción, calificada como grave en el artículo 73.
20. t)de la LOPDGDD, con 200.000 euros. - 15, de conformidad con el artículo 83.5
21. b)del RGPD, y a efectos de prescripción de la infracción, calificada como muy grave en el artículo 72.1.
22. k)de la LOPDGDD, con 20.000 SEGUNDO: Que por la Directora de la Agencia Española de Protección de Datos se ordene a CARTONAJES BAÑERES, S.A., con NIF A03009263, en virtud del artículo 58.2.
23. c)del RGPD, que en el plazo de 30 días desde que la resolución que ponga fin a este procedimiento sea ejecutiva, acredite haber atendido al cumplimiento del ejercicio del derecho de acceso del reclamante.” DÉCIMO: Alegaciones a la propuesta de resolución Con fecha 12/11/2024, se reciben alegaciones a la propuesta de resolución, que, en síntesis, indican: 1-Respecto de la INFRACCIÓN DEL ARTÍCULO 35 DEL RGPD, reitera lo manifestado en las alegaciones precedentes de 5/01/2024. Añade: - Estima que se yerra en la tipificación por la AEPD, siendo una cosa el hecho de continuar con el empleo de una herramienta de reconocimiento facial, y otra, no haber realizado una EIPD con carácter previo a instalar la herramienta. Reitera sobre esto último, lo ya manifestado en alegaciones al acuerdo de 5/01/2024. -“La AEPD manifiesta que es preciso efectuar una EIPD si se han producido cambios en los riesgos que el tratamiento implica en relación con el momento en que el tratamiento se puso en marcha”, “el hecho de que los datos biométricos formen parte de la categoría especial no implica que se produzca un cambio de riesgo”, pero en este caso: -Ni se han empleado nuevas tecnologías ni se usan los datos para finalidades distintas, ni se recogen más datos o datos distintos de los que se empleaban. -“En ningún momento se ha acreditado por la Adminsitración actuante que se haya C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/60 producido dicho cambio en los riesgos, por lo que es manifiesto que no procede efectuar una EIPD”. Además, señala que en la propuesta: - se incide en que “la infracción que se imputa a la entidad mercantil compareciente consistente en no adaptar su comportamiento consistente en efectuar una EIPD”, no está tipificada como infracción. Se ha reformulado la supuesta infracción cometida, indicando: “Por tanto, también es indiscutible que se han venido produciendo tratamiento mediante el uso del sistema biométrico facial establecido por la responsable del tratamiento, CB, tras la entrada en vigor del RGPD a los que la reclamada, no ha adaptado su comportamiento consistente en efectuar una EIPD, como determina el considerando 171 del RGPD y se desprende de los principios y garantías aplicables en el citado RGPD.” Indica la reclamada que la infracción es “no efectuar una evaluación de impacto en el momento en el que se inicia el tratamiento”, y estima se “está tipificando erróneamente la supuesta infracción cometida”, “ya que dicho precepto no sanciona el no haber adaptado su comportamiento conforme al mentado artículo “. Añade a su reiteración de la PRESCRIPCIÓN de la infracción, que, si la obligación a haberse realizado nace de la entrada en vigor del RGPD, 25/05/2018, “dies a quo”, “al tener que adaptarse dicho tratamiento a la nueva normativa”, desde la fecha en que se debiera haber cumplido la obligación, se hallaría prescrita la responsabilidad, al haber transcurrido más de dos años a la fecha en que se inicia el acuerdo de inicio, o en otras palabras, el momento de la prescripción “dies ad quem”, sería el 25/05/2020. -Sobre la PROPORCIONALIDAD, reitera lo manifestado en sus alegaciones precedentes de 5/01/2024, enfatizando que la sustitución del sistema de fichajes antes del inicio de “cualquier procedimiento“, se ha de valorar, y que antes de la Inspección de 31/05/2023, se había adquirido el sistema y una vez adquirida CB el 7/07/2022, “SAICA constató la existencia de un problema respecto del sistema de fichajes”, y estableció el Plan de trabajo para implantar el cambio de sistema, NO PUDIENDO SER UN AGRAVANTE. Debiendo ser el atenuante que señala debe aplicarse, el artículo 83.2.
24. f)del RGPD, que considera no necesita que la medida se tome inmediatamente, sino que lo relevante sería que se ponga remedio a la infracción y se mitiguen los efectos adversos. Reitera que tampoco se aplica la atenuante del artículo 83.2.
25. b)del RGPD, con base a que cuando se instaló el sistema, la normativa aplicable no exigía la realización de una EIPD, y CB fue adquirida el 7/07/2022, una vez instalado el sistema. -Añade nuevas resoluciones que sancionan de modo diferente a su caso: -El expediente 202213792, con tres agravantes, ningún atenuante, y 700 abonados, con 50 MIL euros. -El expediente 202202960, con dos agravantes y ningún atenuante, y 4125 empleados, con 100 MIL euros. Considera que la no aplicación de ningún atenuante vulnera el principio de proporcionalidad. -Frente a la manifestación en la propuesta, de que no cumplió el principio de proactividad al no documentar los motivos por los que no realizó una EIPD, con algún documento pericial C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/60 especializado que hubiera extraído tal conclusión, la reclamada manifiesta que ya alegó sus consideraciones sobre la entrada en vigor del RGPD y la implantación del sistema en 2016, y corresponde a la ADMINISTRACION LA CARGA DE LA PRUEBA, pues la presunción de inocencia está garantizada por la Constitución española. Concluye que no efectuó la EIPD porque “en el año 2016 dicha obligación o se contemplaba en la normativa” 2-Sobre la infracción del artículo 15 del RGPD, reitera las alegaciones efectuadas con fecha 5/01/2024, aunque continúa refiriéndolas como artículo 12, pidiendo el archivo del procedimiento sancionador. HECHOS PROBADOS PRIMERO: El reclamante fue trabajador de Cartonajes Bañeres (CB) desde ***FECHA.1, fecha en que comunica su baja voluntaria, con efectos 12/09/2022 (último día de trabajo). SEGUNDO: Consta recibido por la reclamada el 29/08/2022 la solicitud de ejercicio de derecho de acceso formulada por el reclamante. En la misma figura como datos de contacto a efectos de que se le enviara allí la respuesta, el correo electrónico: (…), y su dirección en ***DIRECCIÓN.1. El reclamante obtuvo un primer comunicado de la reclamada a través de correo electrónico de 14/09/2022, indicando que se ha iniciado el trámite, pero no recibió respuesta al ejercicio de su derecho. En la petición solicitaba copia de los datos objeto de tratamiento. TERCERO: En cuanto a la respuesta al ejercicio del derecho de acceso del reclamante que formula el 29/08/2022, no acredita la reclamada haberlo hecho efectivo, y el reclamante afirmó que no se le ha contestado ni por correo electrónico ni a la dirección postal que consignó en su petición. La reclamada aporta como respuesta, un escrito fechado el 15/09/2022 enviado el 9/12/2022 por burofax a una dirección que no era la que el reclamante hacía constar en su solicitud, en concreto a ***DIRECCIÓN.2, manifestando la reclamada que lo hizo así, por entender que al no haber más que señalado ***DIRECCIÓN.1, le faltaba el número del piso y la puerta. A pesar de constar acreditado que personal de la reclamada se comunicó con el reclamante, por WhatsApp el 16 y el 19/09/2022, según impresión de pantalla aportada en actuaciones previas por la reclamada, era, según el literal para que acudiera a firmar una carta en presencia del (…), sin que en modo alguno se trate o sobreentendiera que se refería a la respuesta del derecho ejercicio. No resulta acreditado que los citados contactos por la reclamada con el reclamante tuvieran como objeto o fin, el de entregar la respuesta al derecho de acceso al reclamante, sino que, sí se acredita que se contactó por dicho medio, pero por otras cuestiones que no acreditan referirse al ejercicio del derecho. No consta que la reclamada advirtiera al reclamante de la subsanación de su solicitud en modo alguno. Además, en el escrito que manifiesta la reclamada haber enviado para dar efectividad al derecho, se contiene la referencia genérica al tipo de datos, no a los datos reales, sin mención alguna al reconocimiento facial ni datos inferidos del mismo, registros diarios C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/60 producto del control horario laboral diario, ni al derecho a presentar una reclamación ante la autoridad de control. CUARTO: La reclamada aportó el 22/12/2022 en su respuesta al traslado, copia del documento: “consentimiento e información sobre: tratamiento de datos personales de los empleados” firmado por el reclamante el 11/05/2022. En finalidad, se indicaba que los datos facilitados serán tratados para gestionar la relación laboral, y “control horario basado en la captación de la huella digital del trabajador para el control del cumplimiento de la jornada laboral”, Finaliza: “He leído y acepto las condiciones para el tratamiento de mis datos personales”, reiterando en su cabecera que “con la aceptación de las condiciones de tratamiento de datos personales recogidas en este documento, los interesados prestan su consentimiento expreso”, y que” caso de no facilitar su consentimiento expreso, CB no podrá tratar sus datos personales para las finalidades recogidas en el mismo”. En “legitimación” especifica, por ejemplo, que la gestión de nóminas responde al cumplimiento de obligación legal, sin que figure referencia alguna a la legitimación del sistema de empleado para el control del cumplimiento de la jornada laboral. El documento no lleva ningún apartado para seleccionar el consentimiento afirmativo, o negarlo, ni opción alguna para revocar el consentimiento, ni en definitiva invitación alguna a aceptar una operación de tratamiento. QUINTO: Además, el reclamante señala que, como empleado, la reclamada le obliga a fichar en la entrada del puesto de trabajo con un dispositivo de reconocimiento facial, sin alternativa al uso de otro medio distinto. SEXTO: En la respuesta al traslado, el 22/12/2022, CB, respondió, aportando poder notarial de 7/07/2022, de SAICA PACK SL como administradora única de aquella, en su nombre y representación. En el Registro Mercantil, a 30/08/2023, figura la empresa CB en activo, y desde 1/08/2022 figura inscrito como administrador único SAICA PACK SL En la visita de inspección realizada por el Servicio de Inspección de la AEPD de 31/05/2023, se presentó por la inspeccionada CB, la información de que CARTONAJES BAÑERES, S.A. “fue adquirida por SAICA PACK S.L. el 7/07/2022”, presentando la escritura de compraventa de acciones nominativas que representan el 98,52% del capital social de CB, sin que se desprenda la extinción de la personalidad jurídica de CB. CB, pasa a pertenecer al GRUPO SAICA, como afirma entre otros, el documento de acta de 19/10/2022 del Comité de Protección de Datos del GRUPO SAICA, constituido el 6/05/2022. En el acta citadas, se discute entre otros, la revisión de la situación de la entidad CB en lo relativo a protección de datos. En sucesivas reuniones posteriores del CPD como la de 20/01/2023 se analiza la situación de CB. SÉPTIMO: En la inspección de la AEPD desarrollada el 31/05/2023, además, se aportó por la reclamada el documento que figura referenciado hecho CUARTO, 3.5 “DOCUMENTACIÓN SOBRE C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/60 ANTIGUO SISTEMA DE FICHAJES”, titulado “tratamiento biométrico facial”, firmado por la empresa SABACOINSA SL, sin fecha, del que se desprende que: - El sistema utilizaría un terminal de reconocimiento facial 3D, de la marca ***MARCA.1, lector denominado (...). “La captación del patrón biométrico por parte de la cámara se basa en tomar varias imágenes de la cara y mediante un algoritmo matemático se genera un patrón. Este algoritmo de encriptación genera una plantilla representativa de dicho patrón (hash) y se almacena en EQUIPO y en el SOFTWARE para poder hacer la identificación biométrica” -Los datos biométricos se almacenan en la base de datos propia del software de control horario PHUC CONTROL, ubicada en el servidor de las instalaciones del cliente. -El software de gestión PHUC CONTROL almacena el hash (patrón biométrico) que proporciona el terminal de reconocimiento facial. -Este hash se relaciona con el usuario final con el id de usuario en una tabla especial para los datos biométricos. Además, la reclamada reconoce: -Dispone de una base de datos donde se registran los fichajes de los trabajadores gestionada por Microsoft Access. -Si un trabajador causa baja, se elimina el hash del sistema de reconocimiento facial, y los datos del fichero ACCES de los fichajes se almacenan en un histórico. En caso de que un empleado causara baja en la empresa, el patrón biométrico es eliminado. La reclamada al dejar de utilizar el sistema biométrico de RF para control horario destruyó los patrones biométricos. -Se acredita que, una vez realizada la identificación, se remite información a una base de datos ACCESS con la confirmación del fichaje del empleado, conteniendo el nombre del trabajador, el día y la hora, que es la información de registro horario que se conserva. -En el momento de la visita de inspección, 31/05/2023, los datos del registro de fichajes de los trabajadores desde 2019, se conservan en un fichero Access histórico por haberse implantado el nuevo sistema de tarjetas de control laboral diario, y los hash almacenados que servían a ese sistema han sido destruidos. Aporta a tal efecto la reclamada un certificado de eliminación de residuos de 2/06/2023. La reclamada acredita en alegaciones que el sistema biométrico utilizado para el registro de reconocimiento facial de control horario laboral diario se adquirió el 14/12/2016 con la aportación de la copia de una factura de compra “Distribuidor PHUC”, sin que en detalle acredite el día de su puesta en práctica. OCTAVO: Antes de recibirse el traslado de la reclamación que la AEPD hizo a la reclamada, el COMITÉ DE DELEGADOS DE PROTECCION DE DATOS del GRUPO SAICA, (CDPD), constituido el 6/05/2022, recomendaba en acuerdo de 19/10/2022 a CB, que de forma inmediata se sustituyera el sistema de fichajes de control laboral mediante reconocimiento facial, por emplear datos biométricos). Consta acreditado que la reclamada siguió utilizando el citado sistema de tratamiento biométrico facial hasta su sustitución efectiva, llevada a efecto el 29/05/2023, figurando registros de horarios laborales de empleados con tal sistema en la base de datos ACCESS de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/60 control horario según se pudo acreditar en actuaciones previas de investigación por el Servicio de Inspección presencial realizada el 31/05/2023, accediendo a la aplicación de control de gestión de fichajes, PHUC control versión registrada. El mismo CDPD acordó el 20/01/2023, que se estaba adecuando la planta de CB a las exigencias del RGPD, refiriendo expresamente la atención del ejercicio de derechos. Concretamente, en abril 23, se proyectó una auditoría RGPD y elaboración del RAT con oferta de prestación de servicios. El 20/03/2023, se inició, un plan de implantación de integración de CB, en SAICA del sistema de fichajes finalizando con la distribución de tarjetas a empleados y actualización de tarjetas ID. A los empleados de CB se les informa del funcionamiento del nuevo sistema de fichaje de control laboral en un documento de 25/05/2023, haciéndoles saber la efectiva implantación desde 29/05/2023 del nuevo sistema de fichaje mediante tarjeta individualizada, similar al del resto de todas las plantas del GRUPO SAICA. El servicio de inspección de la AEPD constató que el sistema de fichaje solicitaba una tarjeta identificativa. NOVENO: Sobre la base jurídica del tratamiento y la circunstancia que levanta la prohibición para tratar categorías especiales de datos, según el artículo 9 del RGPD, la reclamada no respondió en el traslado de la reclamación, excusando que había aportado “los ficheros declarados a la AEPD en 2011”, “nominas, personal y recursos humanos” y que el reclamante había prestado su consentimiento expreso para el tratamiento de sus datos, entre ellos también para el biométrico “ de la huella dactilar” para “control de cumplimiento de jornada laboral”. DÉCIMO: CARTONAJES BAÑERES; (CB) según AXESOR.ES, tiene como objeto social, la fabricación de papel y cartón ondulados, fabricación de envases y embalajes de papel y cartón, fue adquirida el 7/07/2022 por SAICA PACK SL, constando en el Registro Mercantil su publicación como administrador único de CB inscrita el 1/08/2022. En axesor.es, figura de CB, su constitución 24/06/1957, tipo de empresa: matriz de grupo, estado: activa, capital social: (...)€, tamaño PYME mediana, último ejercicio presentado 2021, -ventas: (...)€, (...),-cifra de negocios 2021: (...)€. FUNDAMENTOS DE DERECHO I Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la LOPDGDD, es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/60 su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Definición de datos biométricos y de carácter personal Los datos biométricos los define el artículo 4.14 del RGPD: “datos biométricos»: datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos;” Conviene indicar el resto de las definiciones contenidas en el artículo 4 del RGPD: “1) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona; 2) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;” (…) “7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;” El ámbito de aplicación del RGPD extiende su protección, tal y como establece su artículo 1.2, a los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales, definidos en su artículo 4.1 del RGPD. como “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.” Como ya señaló el Dictamen 4/2007 del grupo de trabajo del artículo 29 (art. 29 de la Directiva 95/46 CE, como organismo de la UE, de carácter consultivo e independiente), sobre C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/60 el concepto de datos personales (WP136), de 20/06/2007, los datos biométricos pueden definirse como: “propiedades biológicas, características fisiológicas, rasgos de la personalidad o tics, que son, al mismo tiempo, atribuibles a una sola persona y mensurables, incluso si los modelos utilizados en la práctica para medirlos técnicamente implican un cierto grado de probabilidad. Ejemplos típicos de datos biométricos son los que proporcionan las huellas dactilares, los modelos retinales, la estructura facial, las voces, pero también la geometría de la mano, las estructuras venosas e incluso determinada habilidad profundamente arraigada u otra característica del comportamiento (como la caligrafía, las pulsaciones, una manera particular de caminar o de hablar, etc.). Una particularidad de los datos biométricos es que se les puede considerar tanto como contenido de la información sobre una determinada persona (Fulano tiene estas huellas dactilares) como un elemento para vincular una información a una determinada persona (este objeto lo ha tocado alguien que tiene estas huellas dactilares y estas huellas dactilares corresponden a Fulano; por lo tanto, Fulano ha tocado este objeto). Como tales, pueden servir de «identificadores». En efecto, al corresponder a una única persona, los datos biométricos pueden utilizarse para identificar a esa persona. Este carácter dual también se da en el caso de los datos sobre el ADN, que proporcionan información sobre el cuerpo humano y permiten la identificación inequívoca de una, y sólo una, persona.” Se puede afirmar que, desde la identidad biológica, propia de cada persona, se utilizan instrumentos técnicos automatizados que permitirán identificar permanente y unívocamente a todos los individuos, pues todos disponen de dicha identidad biológica (huellas dactilares, cara, voz, iris etc.). Los datos biométricos cambian irrevocablemente la relación entre el cuerpo y la identidad, ya que hacen que las características del cuerpo humano sean legibles mediante máquinas y estén sujetas a un uso posterior reiterado. Los datos biométricos presentan la particularidad de ser producidos por el propio cuerpo y lo caracterizan definitivamente, son datos, no sobre esa persona, sino que los datos refieren a la misma persona, en principio no modificables por voluntad del individuo. Además, debido a que los datos biométricos son propios de una persona y perpetuos, el usuario utiliza los mismos datos en diferentes sistemas. Los datos biométricos pueden tratarse y almacenarse de diferentes formas. A veces, la información biométrica capturada de una persona se almacena y se trata en bruto, lo que permite reconocer la fuente de la que procede sin conocimientos especiales; por ejemplo, la fotografía de una cara, la fotografía de una huella dactilar o una grabación de voz. Otras veces, la información biométrica bruta capturada es tratada de manera que solo se extraen ciertas características o rasgos y se salvan como una plantilla biométrica. Los sistemas biométricos están estrechamente vinculados a una persona, dado que pueden utilizar una determinada propiedad única de un individuo para su identificación. Cada individuo tiene impresiones dactilares únicas que muestran características específicas que pueden medirse para decidir si una impresión dactilar corresponde con una muestra registrada. Los datos biométricos presentan la particularidad de ser producidos por el propio cuerpo y lo caracterizan definitivamente. Por lo tanto, son únicos, permanentes o definitivos en el tiempo y la persona no puede liberarse de ellos, no se pueden cambiar nunca, ni con la edad, creando cuestiones de responsabilidad en caso de compromiso-pérdida o intrusión en el sistema. A diferencia de una contraseña, en caso de pérdida no se pueden cambiar. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/60 La definición de dato biométrico alude a “tratamiento técnico”, sin especificar, excepto para reseñar que el propósito de dicho tratamiento debe ser identificar a una persona. Para considerarse datos biométricos en el sentido del RGPD, el tratamiento de datos sin procesar, como las características físicas, fisiológicas o conductuales de una persona física deben implicar una medición de dichas características. Así pues, del concepto, no hay que perder de vista: -La naturaleza de los datos: datos relativos a las características físicas, fisiológicas o conductuales de una persona física; - Los medios y las formas de tratamiento: datos “obtenidos a partir de un tratamiento técnico específico”; lo que las diferencia por ejemplo de las imágenes de una persona que figuran en un sistema de videovigilancia, que no pueden considerarse datos biométricos si no se han tratado técnicamente de una forma específica con el fin de contribuir a la identificación única de esa persona. Deben ser objeto de “tratamiento técnico específico”. Según el WP80 del GT29, adoptado el 1/08/2003 (en adelante, “WP 80 del GT 29”), el tratamiento de estos datos se realiza a través de sistemas biométricos que son: “aplicaciones de las tecnologías biométricas que permiten la identificación automática, y/o la autenticación/comprobación de una persona. Se suelen utilizar aplicaciones de autenticación/comprobación para diversas tareas en campos muy distintos y bajo la responsabilidad de una amplia gama de entidades diferentes.” La mención que se incluye en el artículo 4.14 del RGPD como datos biométricos destinadas a que "permitan" pueden entenderse a la identificación, la de "confirmen" a la verificación. Para una mayor comprensión, se describen los conceptos de autenticación/verificación e identificación. El Dictamen 3/2012 sobre la evolución de las tecnologías biométricas de 27/04/2012 del Grupo de Trabajo 29, señalaba: “-Identificación biométrica: la identificación de un individuo por un sistema biométrico es normalmente el proceso de comparar sus datos biométricos (adquiridos en el momento de la identificación) con una serie de plantillas biométricas almacenadas en una base de datos (es decir, un proceso de búsqueda de correspondencias uno-a-varios). -Verificación/autenticación biométrica: la verificación de un individuo por un sistema biométrico es normalmente el proceso de comparación entre sus datos biométricos (adquiridos en el momento de la verificación) con una única plantilla biométrica almacenada en un dispositivo (es decir, un proceso de búsqueda de correspondencias uno-a-uno).” Con leves matices, los conceptos se mencionan en el “Libro blanco sobre la inteligencia artificial de la Comisión Europea”, de 19/02/2020, referidos a la imagen facial: “En lo que se refiere al reconocimiento facial, por «identificación» se entiende que la plantilla de la imagen facial de una persona se compara con otras muchas plantillas almacenadas en una base de datos para averiguar si su imagen está almacenada en ella. La «autenticación» (o «verificación»), por su parte, se refiere habitualmente a la búsqueda de correspondencias C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/60 entre dos plantillas concretas. Permite la comparación de dos plantillas biométricas que, en principio, se supone que pertenecen a la misma persona; así, las dos plantillas se comparan para determinar si la persona de las dos imágenes es la misma. Este procedimiento se emplea, por ejemplo, en las puertas de control automatizado de fronteras empleadas en los controles fronterizos de los aeropuertos”. Las Directrices 5/2022, del Comité Europeo de Protección de Datos (CEPD), sobre el uso de reconocimiento facial en el ámbito de las fuerzas de orden público (véase Versión 2.0, de 26/04/2023), en su apartado 10, señala: “Como cualquier proceso biométrico, el reconocimiento facial puede cumplir dos funciones distintas: • La autenticación de una persona con el fin de verificar que dicha persona es quien afirma ser. En este caso, el sistema compara una plantilla o muestra biométrica pregrabada (por ejemplo, almacenada en una tarjeta inteligente o un pasaporte biométrico) con un único rostro, como el de una persona que se presenta en un puesto de control, para verificar si se trata de la misma persona. Por lo tanto, esta función se basa en la comparación de dos plantillas. Se denomina también verificación de 1 a 1. • La identificación de una persona con el fin de localizarla entre un grupo de individuos, dentro de un área específica, en una imagen o en una base de datos. En este caso, el sistema debe procesar cada rostro capturado para generar una plantilla biométrica y luego comprobar si coincide con una persona conocida por el sistema. Así pues, esta función se basa en la comparación de una plantilla con una base de datos de plantillas o muestras (base de referencia). Se denomina también identificación de «uno entre muchos». Por ejemplo, puede relacionar un registro de nombres personales (apellidos, nombre) con un rostro, si la comparación se hace con una base de datos de fotografías asociadas a apellidos y nombres. También puede implicar el seguimiento de una persona a través de una multitud, sin establecer necesariamente un vínculo con la identidad civil de la persona.” Las citadas Directrices 05/2022, en su apartado 12, indican que el concepto de dato biométrico abarca tanto la “autenticación” como la “identificación”, y si bien son conceptos distintos, en ambos procedimientos se tratan datos dirigidos a identificar de manera unívoca a una persona física, por lo que ambos se incluyen en el concepto de “tratamientos de datos”, y más específicamente, son tratamientos de datos personales de categorías especiales. En cuanto a la consideración que a la reclamada le merece su sistema biométrico de reconocimiento facial, como se desprende del contenido referido en el HECHO CUARTO/3/3.5/3.5.3/ en el que lo considera como de verificación/autenticación, uno contra uno, se acredita que la comparación entre los datos biométricos de reconocimiento facial empleados por la reclamada es el de identificación, o 1:N, uno versus N, o también denominado uno a varios. Ello resulta porque los datos adquiridos/entrantes mediante la lectura del rostro cada vez que se accede o se sale para el fichaje, efectuarían un proceso de comparación con los datos de la plantilla, pero no con UNA ÚNICA PLANTILLA BIOMÉTRICA ALMACENADA EN UN DISPOSITIVO, sino con todas las plantillas de todos los empleados -incluida la suya del reclamante- sujetos todos como empleados al sistema de control horario de la reclamada, y previamente recogidas también para ser usadas, almacenadas, TODAS en la base de datos centralizada de la propia reclamada, procediendo, no a cotejo/comparación 1:1, o uno frente a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/60 uno, sino 1, la presentada en ese momento, frente a N o 1 versus varios (todas las almacenadas en la base de datos de la reclamada), para encontrar la suya propia previamente registrada, sin que el empleado disponga en modo alguno de dispositivo de almacenamiento como parece sugerir. En ambos casos, sea verificación-autenticación, o identificación las técnicas de reconocimiento facial utilizadas se basan en una concordancia estimada entre plantillas: la que se compara y la(
26. s)de referencia. Desde este punto de vista, son técnicas probabilísticas: la comparación deduce una probabilidad mayor o menor de que la persona sea efectivamente quien se ha de autenticar o identificar; si esta probabilidad supera un determinado umbral en el sistema, definido por su usuario o su desarrollador, el sistema entenderá que existe una coincidencia. Dato de persona física identificada es que esa persona se la distingue o aisla de un grupo de personas. Único, puede referirse a que los datos biométricos tienen tales particularidades que pueden identificar sin ambigüedades a un individuo. De esta forma, a un identificador único, se le puede asociar otros atributos adicionales o datos personales. Se adelanta, como ya se indicará, que la plantilla biométrica, con propósito de identificación o autenticación es un dato personal per se y un identificador único. La finalidad del tratamiento: los datos se deben utilizar para la finalidad de identificar de manera unívoca a una persona física. Las características biométricas se someten a un tratamiento técnico mediante el cual se reconoce a una persona a partir de una imagen o fotografía, que incluye para su puesta en práctica de un proceso cronológico que se contiene en todos los tratamientos de datos biométricos: su captura o registro de datos con su siguiente almacenamiento o procesamiento y la fase de comparación o correspondencia. Por otro lado, el considerando 51 del RGPD, se refiere a la no consideración sistemáticamente como un tratamiento de categoría especial de datos, a las fotografías, pues únicamente se encuentran comprendidas en la definición de datos biométricos cuando se les aplica un medio de tratamiento técnico especifico que “permita o confirme la identificación única de dicha persona”. En todo caso, a sensu contrario del citado considerando, sea aplicando a la fotografía un medio de tratamiento técnico especifico, o sea con el registro de la cara hecho exprofeso (por ejemplo, con una cita expresa de CB para la exposición de la cara y la recogida de datos), estaríamos ante datos biométricos. Todo sistema biométrico para una finalidad, en este caso control laboral del horario, para poder ser usado, ha de registrar antes en el sistema por medio de la captura una serie de parámetros biométricos (la cara en este caso), pues de lo que se trata de conseguir es de realizar un procesamiento sobre esos parámetros del rostro para identificar a la persona cada vez que luego vuelva a entrar y salir por el punto de acceso. La mecánica de funcionamiento del sistema consiste en que una vez capturada la imagen de la cara y creada la plantilla, esta se almacena para que cuando se pretenda acceder en este caso, al puesto de trabajo, por el espacio determinado por la empleadora, detecta la imagen de la cara y otra vez se procesa, se obtiene una plantilla y se compara con la que se tiene guardada. El espacio físico y soporte en el que se puede guardar la plantilla para poner en marcha la técnica operativa, puede variar, desde la conservación en un dispositivo que solo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/60 se almacena en manos de la persona, mantenido bajo su control exclusivo al portar el usuario (ejemplo una tarjeta) que no es este caso, a una base de datos centralizada en los sistemas de la responsable, como en este caso. Además, en este caso, junto a las plantillas biométricas almacenadas en el software de gestión, se relacionan con el id de los usuarios (empleados de la empresa) en una tabla específica para datos biométricos, a partir de la que en cada ocasión que se ficha accediendo y saliendo al lugar de trabajo, se genera el registro de control de fichajes, finalidad buscada por la reclamada. En el denominado proceso de registro están las fases de: - Registro de los parámetros biométricos. Abarca todos los procesos que se llevan a cabo en un sistema biométrico con el fin de extraer datos biométricos de una fuente biométrica y vincular estos datos a un individuo. En este caso la cara. El software de reconocimiento facial ve el rostro convierte estas medidas en un código numérico, hash o plantilla. Este código numérico, hash o plantilla, es lo que se guarda para comparar cuando se entra o sale por el espacio donde figura el lector de reconocimiento facial, que registra la entrada o salida de, en este caso acceso a la empresa reclamada, y que sirve como punto de control usado para el registro horario de la jornada. Por ello, las técnicas de reconocimiento facial requieren una cierta cooperación por parte del empleado ya que la cámara debe ser colocada enfrente de la cara mientras se toma la foto. -Procesamiento: Creando una plantilla con las características personales de los parámetros capturados -Inscripción: de la plantilla procesada, guardándola en un medio de almacenamiento adecuado. Una vez la inscripción esta completa, el sistema puede empezar a ser usado. Así pues, la captación presencial ante el dispositivo resulta en la obtención de una imagen, de la que se extraen las características a través del algoritmo, que parte del software del dispositivo de la reclamada. Algoritmos, que conviene señalar proceden del fabricante o diseñador de dicho dispositivo y del que se considera un factor más de riesgo para el tratamiento, por cuanto la falta de transparencia, tasa de exactitud, su audición, y entidades certificadoras pueden ser factores a tener en cuenta. Estas características, son las medidas del posicionamiento y mediciones relativas de referencia (puntos nodales distancia: entre los ojos, forma de pómulos…) que recoge de cada imagen en cada individuo y el punto de partida natural para el tratamiento y reconocimiento automático de los individuos. La extracción de características es la que proporciona información para distinguir entre las caras de las diferentes personas según sus variaciones geométricas o fotométricas. Se reduce la imagen bruta de las características biométricas, en este caso las caras, transformándose, pero conservándose información discriminada destacada que es esencial para el reconocimiento de la persona. Estas características extraídas se mantienen en una plantilla biométrica, que es una forma de representación matemática reducida de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/60 característica original, denominada aquí por CB como “hash”. La plantilla de referencia se almacena para su comparación, en este caso en una base de datos donde están las de todos los empleados. En la última fase, se comparará una muestra biométrica-como la cara- presentada al sensor con una plantilla previamente grabada/almacenada. Las fases se avienen con la enumeración de lo que podría ser una operación de tratamiento de datos (recogida, almacenamiento, uso). En cuanto a que se podría aducir a que solo identifica a los trabajadores pertenecientes al grupo de empleados previamente registrados, no es razón para no considerarse dato biométrico, que están dirigidos a que a las personas físicas se las identifique con los datos generados a partir de la extracción de sus características biométricas. Además, la definición de datos biométricos incluye que a través del tratamiento técnico especifico, “permitan o confirmen” “la identificación única” de dicha persona. Por tanto, ambas, identificación o autenticación han de ser únicas, referidas a la identificación que se produzca de la persona. La identificación única por otro lado va más allá de que el dato sea de una persona física identificada o identificable. Dato de persona física identificada es que esa persona se la distingue o aisla de un grupo de personas. Único, puede referirse a que los datos biométricos tienen tales particularidades que pueden identificar sin ambigüedades a un individuo. En este caso, la identificación única se produce por el registro de la imagen facial de cada empleado, asociándola a un ID de usuario almacenados en la base de datos de la reclamada, lo que permite identificar a cada empleado. De acuerdo con la información proporcionada por CB, al pasar por el espacio que recoge la imagen de reconocimiento facial, colocado con el fin del registro horario de entrada y salida, se ha generado “un número con muchos dígitos” “mediante la función hash (aplicación de un algoritmo) que proporciona un valor único. Lo que quiere decir es que la información biométrica recogida, en este caso, la imagen de la cara se procesa siguiendo procedimientos definidos en estándares y el resultado de ese proceso se almacena en registros de datos denominados firmas, patrones o “templates”. Estos patrones registran numéricamente las características físicas que permiten diferenciar personas. En el espacio de recogida de imagen, el software del dispositivo compara el patrón ofrecido cuando se le presenta con el almacenado, en orden al registro de la jornada. En este caso, aunque no se guarde enteramente la imagen de la cara, sino una plantilla, todas las plantillas de todos los empleados, cada una de ellas distinta, es capaz de identificar unívocamente a cada empleado al confrontar en el espacio de la toma de la imagen al acceder con el resto de las existentes almacenadas. Las funciones que contiene el algoritmo permiten extraer los puntos característicos para su posterior comparación con una base de datos asociada al conjunto de empleados previamente almacenado, siendo capaz de identificar a su titular de entre todas las plantillas, tratándose datos de carácter personal basados en el procesamiento de la huella, identificando de forma única a dicha persona. Técnicamente, la plantilla biométrica contra la que se coteja la muestra es el producto de una medición que identifica unívoca y únicamente al individuo. Los datos biométricos de cada usuario, adquiridos en el momento de su captación y registrados, para someterlos al procedimiento técnico que convierte la imagen, el formato, en muestra biométrica y a través del algoritmo en plantilla biométrica, almacenándose, con objeto de que con las muestras introducidas al colocar el dedo en los accesos, identifique a través C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/60 del modelo guardado, de entre todas las plantillas, sin lugar a duda, a su titular, lo que haría, sería, sin lugar a dudas, identificar de forma única a dicha persona. El uso de la cara no solo es capaz de validar la identidad de forma precisa, sino que tiene información única sobre personas físicas. El algoritmo del software, sobre la muestra biométrica, extrae las características biométricas, reduce y transforma en etiqueta o números esa muestra, constituyendo una representación matemática de la característica biométrica original, que es la plantilla biométrica. La plantilla se almacena para su comparación en la última fase en la cual con la muestra biométrica- en el lector-y con la plantilla previamente grabada, está identificando unívocamente al empleado, en cada ocasión que entra o sale poniendo su cara ante el lector, por lo que se considera que los datos entran dentro del ámbito de los datos especiales, por ser una identificación unívoca. En el presente caso, desde luego, no puede hablarse de que no se trata información ligada a datos personales de una persona identificada en cada registro de accesos, ya que, además, se debe señalar que si no permitieran la identificación inequívoca del empleado no se produciría el registro horario que tiene como fin. Queda así, acreditado que CB trata datos personales de carácter biométrico de sus empleados, en este caso con un fin de registro horario que permiten identificar a cada empleado a la hora de entrar o salir a su puesto de trabajo, registrando la jornada diaria, instrumentos técnicos y organizativos dispuestos por la reclamada como responsable de tales tratamientos. III Objeto y finalidad del tratamiento Es objeto de valoración en este procedimiento el ajuste normativo que se analiza en cuanto al sistema de reconocimiento facial biométrico facial que CB implantó con la finalidad de tratar los datos de los empleados de su entidad para el registro de la jornada laboral, acceso y salida en el desarrollo del empleo diario. Dentro del CAPITULO IV del RGPD, se tratan en su Sección 1ª, las obligaciones generales del responsable del tratamiento y del encargado del tratamiento. A tal efecto, el artículo 25 del RGPD señala:” “1. Teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, ámbito, contexto y fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad que entraña el tratamiento para los derechos y libertades de las personas físicas, el responsable del tratamiento aplicará, tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento, medidas técnicas y organizativas apropiadas, como la seudonimización, concebidas para aplicar de forma efectiva los principios de protección de datos, como la minimización de datos, e integrar las garantías necesarias en el tratamiento, a fin de cumplir los requisitos del presente Reglamento y proteger los derechos de los interesados. 2. El responsable del tratamiento aplicará las medidas técnicas y organizativas apropiadas con miras a garantizar que, por defecto, solo sean objeto de tratamiento los datos personales que sean necesarios para cada uno de los fines específicos del tratamiento. Esta obligación se aplicará a la cantidad de datos personales recogidos, a la extensión de su tratamiento, a su plazo de conservación y a su accesibilidad. Tales medidas garantizarán en particular que, C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/60 por defecto, los datos personales no sean accesibles, sin la intervención de la persona, a un número indeterminado de personas físicas.” Ello implica que en el diseño de las operaciones de tratamiento se apliquen esas obligaciones de la protección de datos desde el diseño y por defecto (PDD), “siendo aplicables durante todo el ciclo de tratamiento, y siendo obligatoria para los sistemas de tratamiento que ya existían antes de que el RGPD entrase en vigor” (Directrices 4/2019 relativas al artículo 25. Protección de datos desde el diseño y por defecto, adoptadas el 20/10/2020 por el Comité Europeo de Protección de Datos.). En el mismo sentido: “37…La naturaleza, el ámbito y el contexto de las operaciones de tratamiento, así como el riesgo, pueden cambiar durante el curso del tratamiento, lo que significa que el responsable deberá reevaluar sus operaciones de tratamiento revisando y valorando periódicamente la efectividad de las medidas y garantías que haya decidido adoptar. 38. La obligación de mantener, revisar y actualizar la operación de tratamiento, según sea necesario, también se aplica a los sistemas ya existentes. Esto significa que los sistemas heredados que se hayan diseñado antes de la entrada en vigor del RGPD deben someterse a revisión y mantenimiento para asegurar que se aplican medidas y garantías que apliquen los principios y derechos de los interesados de forma efectiva, como se explica en estas Directrices. “ El capítulo III del Real Decreto-ley 8/2019, de 8/03, de medidas urgentes de protección social y de lucha contra la precariedad laboral en la jornada de trabajo incluyó una reforma dirigida a regular el registro de jornada laboral, como forma de combatir la precariedad laboral, y concretamente el art. 10 modifica el Real Decreto Legislativo 2/2015, de 23/10 (ET), Texto Refundido de la Ley del Estatuto de los Trabajadores, (ET) para regular en su artículo 34.9 el registro de jornada, a los efectos de garantizar el cumplimiento de los límites en materia de jornada, de crear un marco de seguridad jurídica tanto para las personas trabajadoras como para las empresas y de posibilitar el control por parte de la Inspección de Trabajo y Seguridad Social. Esta obligación del empleador se impone con una finalidad especifica, favorable al trabajador, según se reitera en diversos apartados del Preámbulo. La norma no señala más que la citada obligación, correspondiendo a las entidades instrumentar el modo en que se va a llevar a cabo que debería respetar el marco regulador. El señalado artículo indica: “La empresa garantizará el registro diario de jornada, que deberá incluir el horario concreto de inicio y finalización de la jornada de trabajo de cada persona trabajadora, sin perjuicio de la flexibilidad horaria que se establece en este artículo.” Desde dicha implantación, el registro de jornada es una obligación legal impuesta a los empresarios, obligación legal, la del registro, no la del registro mediante reconocimiento facial con registro y lectura biométrica y la reclamada ha manifestado que, no obstante, llevaba utilizándolo desde antes de esta fecha, en concreto desde 2016. En este caso, se impuso tal cumplimiento mediante el sistema biométrico de reconocimiento facial, que implica un tratamiento de datos personales con la finalidad de constatar el registro del horario laboral diario constatando el “horario concreto de inicio y finalización de la jornada de trabajo de cada persona trabajadora”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/60 CB como responsable del tratamiento, entidad empleadora, fue la que decidió desde un principio, se desconoce la fecha exacta, utilizar el registro y almacenamiento de datos originados por el reconocimiento facial para la finalidad de registro de jornada. Así queda acreditado en hechos probados a través del Servicio de Inspección, que aportó copia del sistema de gestión de empleados. La entidad SAICA, adquirió la mayor parte de las acciones de la entidad reclamada en 7/07/2022, una vez que el sistema de tratamiento biométrico facial había sido implantado y continuaba funcionando. La entidad CB seguía en activo, si bien se incardinó en el ámbito del GRUPO de empresas SAICA, que impulsó tras su adquisición el desarrollo de decisiones que pudieron afectar a su política de protección de datos como acredita entre otros, el proyecto de abandono del sistema de tratamiento biométrico facial que adopta el 19/10/2022. La exigibilidad de las obligaciones en materia de protección de datos a CB parten del hecho de que su falta de cumplimiento se puede considerar acreditado e imputable, cuanto menos durante el tratamiento de los datos del reclamante, a través del sistema que ella misma impuso, como responsable del tratamiento y el mantenimiento de su personalidad jurídica, lo que supone la plena imputabilidad por su responsabilidad en las acciones que se reprochan y se imputen a dicha entidad. La obligación del registro de la jornada laboral diaria de los empleados no procede de contrato, sino de una ley, el Estatuto de los Trabajadores, pero no especifica los medios o formas en que se ha de llevar a cabo. Incidiendo ese registro de datos personales con ese fin en un derecho fundamental de sus titulares, el de la protección de sus datos personales, es por lo que cualquier injerencia en los mismos ha de estar prevista expresamente en una Ley. El análisis de la legitimidad del tratamiento biométrico ha de sustentarse en una base legitimadora, pero también en si el tratamiento es necesario, proporcional y se puede llevar a cabo con un riesgo bajo para los derechos y libertades de los interesados, considerando la norma reguladora que enmarca la obligación. IV Tratamiento de datos biométricos: legitimación Los datos biométricos, catalogados como de “categoría especial”, en el artículo 9, tanto del RGPD, como de la LOPDGDD, son datos de cuyo uso pueden desprenderse riesgos significativos para los derechos y las libertades fundamentales, y por ello, en principio su tratamiento está prohibido en el artículo 9.1 del RGPD, que indica: “Quedan prohibidos el tratamiento de datos personales que revelen el origen étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.” Similar situación de prohibición se contempla en la Recomendación CM/REC