PS-00441-2021

1/41  Expediente N.º: PS/00441/2021 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: A.A.A. (en adelante, la parte reclamante) con fecha 4/06/2021, interpuso reclamación ante la Agencia Española de Protección de Datos dirigida contra la CONSEJERÍA DE SANIDAD DE LA JUNTA DE COMUNIDADES DE CASTILLA-LA MANCHA con NIF S1911001D (en adelante, la parte reclamada). Los motivos en que basa la reclamación son los siguientes: “El día 19 de agosto de 2020 cursé una denuncia ante la Agencia Española de Protección de Datos que constaba de DOCE Hechos perfectamente delimitados e independientes”. “El 24 de septiembre de 2020 recibí notificación única y exclusivamente se refería al Hecho DOCE”. “Del resto de Hechos hasta el momento no he tenido conocimiento.” SEGUNDO: Retomando la resolución del procedimiento por la reclamación de 19/08/2020, se ha de indicar que se resuelve en inadmisión a tramite el 24/09/2020, notificada al reclamante y no consta que contra la misma se interpusiera recurso. La resolución de inadmisión, expediente E/07538/2020, indicaba en el encabezamiento: “En relación con la documentación que ha sido remitida a esta Agencia referida a MUTUA DE ACCIDENTES DE TRABAJO COLABORADORA DE LA SEGURIDAD SOCIAL 72 SOLIMAT le confirmo, en primer lugar, su recepción.” “La identificación de infracciones, por vulneración de medidas de seguridad o por ruptura del deber de confidencialidad, se vincula generalmente con casos en los que la documentación con datos personales hubiera sido expuesta fuera del ámbito de protección que suponen las instalaciones donde son tratados los datos o con la constatación de la existencia de una observación de los datos tratados por parte de terceros, no apreciándose en el presente caso indicios documentales suficientes que permitan deducir una vulneración del deber de confidencialidad o que las medidas técnicas y organizativas aplicadas por el responsable del tratamiento no sean las apropiadas para garantizar un nivel de seguridad adecuado al riesgo. No obstante, si dispone de documentos adicionales que puedan acreditar lo contrario puede presentar una nueva reclamación.” También figura una anotación registral de “denegación de teletrabajo solicitada por el reclamante el 15/02/2019”, entre otros motivos, porque por la naturaleza de los servicios prestados, requieren la presencia física del empleado y otros referidos en el artículo 2.2 del Real Decreto 57/2012 de 12/08 por el que se regula la prestación de servicios de los empleados públicos en régimen de teletrabajo en la administración de la Junta de Comunidades de Castilla la Mancha C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/41 TERCERO: Con fecha 8/06/2021, se recibe ampliación de la reclamación del 4 del mismo mes, indicando: Añade sobre lo ya denunciado el 19/08/2020: Sobre documentos 3 y 8 (resolución de teletrabajo de 25/06/2019 y citación en sede de Servicio de Prevención de Riesgos Laborales), le fueron entregados sin firmar, devolviendo los documentos, y le fueron entregados después para su firma en el despacho del Secretario Provincial (SP) en presencia de empleados, considerando se ha vulnerado su derecho a la confidencialidad respecto a sus datos. Como hechos nuevos, pone de manifiesto: a)-Las solicitudes de cualquier tipo, vacaciones, asuntos particulares, teletrabajo se realizan mediante la aplicación “personal de cada funcionario” CHRONOS, y pone de manifiesto por el correo electrónico recibido del SP el 7/08/2020, que concatena otro de un Jefe de Sección, que “este funcionario “podría haber indagado en mi aplicación sin mi permiso” (documento 13 y 14). Se trata de un correo del Jefe de Sección que le indica al SP: “Con fecha 4/08/2020, el reclamante presenta a través de CHRONOS solicitud de permiso mediante teletrabajo para los días 5 y 6/08/2020 “”Con fecha hoy 5/08 estoy intentando rechazar la referida solicitud pero por problemas técnicos inherentes a la plataforma CHRONOS me esta resultando imposible”. Indica que ese día 5, “su fichaje correcto estaba en color rojo”, “que aparecen así cuando se han modificado a mano”. En el documento de registro de la aplicación 14 que aporta, figura la hora de entrada y salida, junto al añadido a mano, “están en rojo”. “Además, me han bloqueado unilateralmente las solicitudes de teletrabajo realizadas a través de la aplicación. Aporta desde documento 15 a 27, pantallazos de dos días por semana, desde 25/09/2020 hasta 2/06/2021, considerando “han accedido sin mi consentimiento” el SP y un Jefe de Servicio. Señala que tiene concedido el teletrabajo desde 30/06/2020 por silencio administrativo, y le “están poniendo trabas”, “a fecha de hoy todavía no lo estoy disfrutando”. b)-“He estado fichando hasta el 13/03/2020 con la huella digital datos biométricos, cuando hay otros medios de fichaje menos intrusivos”. “No se me ha solicitado consentimiento”. “No se ha informado del uso y finalidad de control horario” “ y sobre todo que se iba a utilizar con fines sancionadores como se ha hecho conmigo”. Aporta en documentos 5, 6 y 11 el relato de que diversos días de distintos meses, asistió al médico, y no se le ha computado como prestación efectiva de trabajo el tiempo de dicha asistencia. c)-Con motivo de las restricciones de desplazamientos, al residir en otra localidad, tuvo que pedir un certificado contactando con la Secretaria de la Delegada, que le solicitó para elaborar el certificado el DNI y domicilio. Indica que la persona que desarrolla las funciones de la Secretaria no se corresponde con el puesto que dicha persona tiene adjudicado, que es de auxiliar administrativo, y no ha encontrado el cambio de una plaza a otra, y “tengo dudas de que ocupe el puesto de Secretaria de la Delegada”, “pudiendo haber accedido de forma fraudulenta a mis datos personales”. d)-Con la entrega de documentos 51, 52, 54 y 56 recibí cuatro “instrucciones” dos primeras y última de la Delegada de Sanidad DS ( 14/05/2021, 16/10/2020 y 4/01/2021 y 13/05/2021) tercera del SP, entregados por el SP, “arropado por” la Secretaria de la Delegada en el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/41 primer documento, por dos personas en el segundo, y otras dos en la tercera, cuyos nombres y puestos designa, indicando que son personas que no forman parte del Servicio de planificación, ordenación e inspección “y entre sus funciones no se encuentra el acceso a ningún tipo de información confidencial” sobre expedientes relacionados con la instrucción. Los documentos son nota interior, asunto: “instrucción orden de servicio” en que se alude a la reestructuración comunicada el 10/05/2021, todos los integrantes del servicio en que se encuadra, le informan de la composición de su sección y funciones y colaboradores, y se le ordena impulse la tramitación de los expedientes que tiene a su cargo y se le adjunta la instrucción de 4/01/2021. La segunda nota interior revisa las tareas del reclamante indicando expedientes en los que debe dar los tramites correspondientes, de acuerdo con el articulo 6 de la ley 40/2015 sobre instrucciones y órdenes de servicio, advirtiendo de que su incumplimiento puede dar lugar a corrección disciplinaria. El resto son similares e)-Vulneración del deber de secreto al enviar el ***PUESTO.1 el 4/11/2020 un correo electrónico sin copia oculta que cita al personal de la Delegación para practicarse una prueba serológica de la COVID 19, con la información que debíamos acudir, figurando un listado de nombres y apellidos de cada uno de los trabajadores, junto con fecha y hora, aporta copia en documento 53. El correo indica que “adjunto fecha y hora de cita para aquellas personas que habiendo solicitado test rápido COVID 19 aun no lo tenían asignado” y se le indica a cada empleado el día y la hora y sede. Comprende 83 personas y el citado Jefe de Sección, aparece relacionado con “Sección de personal.” f)-Falta de base legitimadora (art 6) para tratar el dato número de teléfono particular, que se vio obligado a proporcionar en base a la situación meteorológica producida en enero 2021, “Filomena”, al desarrollar la prestación no presencial. Aporta copia de un correo electrónico que le envía otro empleado el 10/01/2021. El e mail, partiendo de la instrucción 1/2021 de 9/01/2021 de la D.G. Función Publica motivada por la situación meteorológica existente, (dictada por la competencia atribuida en el Decreto 80/2019 de 16/07 por la que se establece la estructura orgánica y competencias de la Consejería de Hacienda y administraciones Públicas), y “a la vista de que los interesados están expresando su voluntad de acogerse a la modalidad de prestación de servicios no presencial durante los días 11 y 12 de enero del 2021 debe aclararse dada la excepcionalidad de la situación así como la apremiante la necesidad que la motiva”, e interpreta y establece algunas condiciones de dicha instrucción. Indica que quienes se encuentran en las situaciones descritas por la instrucción deberán, aparte de solicitarla, “estar a disposición del servicio, facilitando teléfono de contacto y atendiendo e mail corporativo, y en su caso conexión a control remoto VPN” CUARTO: De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), el 29/06/2021, se dio traslado a la parte reclamada, del literal: “El reclamante… expone que hasta el 13 de marzo de 2020 ha estado fichando con su huella dactilar sin que previamente le hayan informado del uso y finalidad del tratamiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/41 que realizarían con sus datos personales, siendo estos posteriormente utilizados para sancionarle.” Y se solicita: “…Deberá analizar la reclamación, y remitir a esta Agencia la siguiente información: 1.- La base jurídica del tratamiento y, en su caso, circunstancia que levanta la prohibición para tratar categorías especiales de datos, según el artículo 9 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD).” 2.- La finalidad del tratamiento. 3.- Las garantías adecuadas implementadas para la protección de los derechos y libertades de las personas. 4.- Las categorías de interesados (trabajadores, clientes, usuarios, etc.) y la información facilitada a éstos sobre el tratamiento de los datos. 5.- La Evaluación de Impacto realizada o motivos por los que no se ha realizado (para conocer la lista de tratamientos de datos personales que requieren una evaluación de impacto, así como cualquier otra información relacionada con las evaluaciones de impacto, puede consultar la herramienta “Gestiona EIPD” en https://www.aepd.es/es/guias-yherramientas/herramientas/gestiona-eipd) 6.- La decisión adoptada a propósito de esta reclamación. 7.- Informe sobre las causas que han motivado la incidencia que ha originado la reclamación. 8.- Informe sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia. 9.- Cualquier otra que considere relevante. Deberá, además, aportar la documentación que figura en el Anexo I del presente escrito cuando los tratamientos se refieran a los supuestos que en él se contemplan. ANEXO I 1) Si la reclamación está relacionada con la utilización de las huellas dactilares, deberá aportar la siguiente información: - Descripción precisa del funcionamiento del instrumento utilizado para la captación de las huellas dactilares. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/41 - Criterios utilizados para la codificación y el almacenamiento de la información captada (si los datos biométricos se almacenan en bruto o si son tratados de manera que sólo se almacena una plantilla biométrica). - Motivos que justifiquen la necesidad y la proporcionalidad del uso de los datos biométricos para la finalidad perseguida. - Medidas adoptadas para garantizar que no es posible la reutilización de los datos biométricos para otra finalidad.” Adicionalmente, se solicita en su punto 2, otro tipo de información si los datos fueran tratados con técnicas de reconocimiento facial. QUINTO: Con fecha 29/07/2021, se recibe respuesta en la que manifiesta: 1- Señala la normativa que regula la deducción de retribuciones al personal empleado público por la parte de la jornada de trabajo no realizada, y que en la misma no se deduce que tenga carácter sancionador. Ese tratamiento está inscrito en el Registro de Actividades de Tratamiento (RAT), disponible en https://rat.castillalamancha.es/detalle/1006, denominado gestión de personal de la Consejería de sanidad, y como base jurídica la ley 4/2011 de 10/03 del empleo público de Castilla la Mancha y el Real Decreto Legislativo 5/2015 de 30/10 por el que se aprueba la ley del Estatuto básico del empleado público y el Real Decreto Legislativo 2/2015 de 23/10 por el que se aprueba el texto refundido de la de la ley del Estatuto básico de los trabajadores. Su finalidad es la gestión del expediente del personal adscrito a la Consejería, funcionario, eventual y laboral, control horario o de presencia del personal. Tipos de datos: datos relativos a infracciones administrativas ,NIF, DNI, número de Seguridad Social, nombre y apellidos, dirección, teléfono, firma, correo electrónico, número de registro de personal ,huella. Otros datos: características personales, académicos y profesionales detalles del empleo económicos financieros y de seguros. Manifiesta que la base jurídica del “tratamiento de control horario” se basa en los artículos 6.1.b), 6.1.c), 6.1.

1. e)y 9.2.b), del RGPD. 2-Aporta la Secretaria General de Sanidad ANEXO 1, del que destaca: La Orden de 7/09/2009 de la Consejería de Administraciones Públicas y Justicia sobre horarios de trabajo y vacaciones del personal funcionario señaló la duración de la jornada de trabajo, el horario fijo de presencia en el puesto de trabajo, y su supervisión. En su artículo 13 indica que “todos los centros y oficinas de la administración de la Junta de Comunidades de Castilla la Mancha y de sus organismos públicos que cuente su plantilla con más de 15 personas deberán dotarse de los medios electrónicos o informáticos adecuados para el control del horario del personal. En todo caso, deberá garantizarse el cumplimiento de la normativa vigente sobre protección de datos de carácter personal.” “En la DPS de ***LOCALIDAD.1, desde ***FECHA.2 hasta ***FECHA.1, el sistema de control horario empleado ha sido el fichaje mediante comprobación de huella digital. “ Alude a la normativa vigente en el momento en que se adoptó esa modalidad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/41 tratamiento, la Ley Orgánica 15/1999, de 13/12 de protección de datos de carácter personal (LOPD), que entiende de aplicación cuando se instaura el sistema, a la habilitación para ello al artículo 6 de dicha ley: “ No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento…” . Por orden de 5/12/2016, la Consejería de Hacienda y Administraciones Públicas, ejerciendo sus competencias sobre creación modificación y supresión de ficheros con datos de carácter personal de varias Consejerías de la Junta, determinó la creación del fichero PERSONAL, Diario oficial de CLM de 19/12/2016 en el que figura mencionado, “para la gestión de los RRHH de la Consejería”, en tipos de datos personales que contiene, figura entre otros: “huella”. Con la entrada en vigor del RGPD, este fichero se transformó en un tratamiento que forma parte del RAT denominado: “Gestión de Personal de la Consejería de Sanidad”. “Tras la resolución de la Dirección General de la Función Pública, (DGFP) de ***FECHA.3, por la que se amplían las medidas extraordinarias en relación con control horario del personal (aporta copia), los empleados desde el ***FECHA.1 pueden usar el ordenador de trabajo para realizar el fichaje de manera alternativa al dispositivo de control de huella digital, de acuerdo con la resolución de 10/05/2020 de la DGFP, que se publicó en la aplicación CHRONOS.” La Resolución de 10/05/2020, de la DGFP, sobre medidas organizativas y de prevención de riesgos laborales para la reincorporación presencial del personal indica en su punto 4-B-8: ”En relación a la utilización de dispositivos de lectura biométrica para el fichaje, se continuará con la medida establecida el 13/03/2020 que posibilita realizar el fichaje mediante CHRONOS a través del ordenador de cada usuario o usuaria”, si bien se especifica que “Todo ello, sin perjuicio de las especificidades y especialidades de la tipología de personal y servicios públicos a prestar por cada Consejería y Organismo Autónomo”. 3- Se adjunta copia del “informe de la Delegación Provincial de la Consejería de Sanidad en ***LOCALIDAD.1 relativo a la información dada a los empleados públicos que toman posesión en la citada DP sobre el uso de los datos personales gestionados por la aplicación informática de control de horario del personal” solicitado por la Secretaria General de Sanidad. El informe lleva fecha de 27/07/2021. Se indica en ANEXO III lo siguiente: “En su momento (septiembre 2016) se colocaron en los diferentes tablones de la Delegación Provincial, a la vista de todo el personal, carteles informativos del nuevo sistema de fichaje (mediante huella digital), así como de la finalidad de los datos recogidos, de la existencia de un fichero a estos efectos, y de todas las demás previsiones de información recogidas en la normativa relativa a protección de datos vigente en aquel momento. SEGUNDO.- Que los registros en la grabación de la huella digital de los empleados públicos fueron siempre efectuados por personal adscrito a la Sección de Personal de ésta Delegación Provincial (por el Jefe de Sección aproximadamente el 90% de los casos), quienes además informaron de la finalidad de los datos recogidos (control del cumplimiento C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/41 de las jornadas, control del horario y demás normas establecidas en la Orden de 7/09/2009, de la Consejería de Administraciones Públicas y Justicia, sobre horarios de trabajo y vacaciones del personal funcionario y normativa concordante establecida en el Convenio Colectivo aplicable en cada momento. TERCERO.- Que durante la operación antes citada se dio la circunstancia que algún empleado público se negó a facilitar su huella digital, circunstancia ésta que se solucionó facilitando al empleado un código que este debe introducir en el terminal biométrico. En este caso el terminal recoge el código del empleado y la fecha y hora de entrada o salida. 3- Las garantías adecuadas para la protección de los derechos y libertades de los interesados, manifiesta que son las necesarias para garantizar el cumplimiento de los principios de protección de datos recogidos en el artículo 5 del RGPD. En el caso del control horario solo se utiliza para comprobar la presencia del trabajador en su lugar de trabajo durante el tiempo establecido por la Administración. “Tal y como se ha indicado en el ANEXO 1, en caso de incumplimiento de horario se podrá reducir de la nomina la parte proporcional al tiempo no trabajado”. Los datos recogidos son adecuados, pertinentes y limitados a lo necesario para la finalidad, “en el control horario, solo se recoge la fecha y hora de entrada/ salida y la identificación del empleado, pudiendo ser esta la huella dactilar si se emplea el terminal biométrico”. 5- El tratamiento tiene implantadas las medidas de seguridad que garantizan que los datos personales presentan los mínimos riesgos de seguridad, todo ello según el ANÁLISIS DE RIESGOS del tratamiento “control horario” de la Consejería de Sanidad, acompañan como copia de ANEXO IV, con las siguientes características:
2. a)Fecha 16/01/2021, “versión inicial”, aprobado por “responsable de protección de datos”. Herramienta utilizada, “GESTIONA”, de la web de la AEPD, que se basa en respuesta de preguntas y que otorga un resultado sobre el nivel de riesgo, aceptable o no. En el RAT, la finalidad es gestión de los “RECURSOS HUMANOS DE LA CONSEJERÍA: -Colectivos afectados: empleados -Tipos de datos: relativos a infracciones administrativas, NIF-DNI, nombre y apellidos, dirección, teléfono, firma, correo electrónico, número de registro de personal, huella otros datos características personales académicas y profesionales, detalles del empleo económicos y financieros y de seguros. -Aplicaciones informáticas: ACCESS MANAGER, FICHAR, CHRONOS, RENO y RENO WEB -Categoría valoración Esquema Nacional de Seguridad: media. Para todas las tareas de control horario, la aplicación utilizada es CHRONOS que también almacena todos los datos en una base de datos tipo SQL Server. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/41 Ciclo de vida de los datos: Dentro de cuatro fases (1 captura de datos, 2 clasificación almacenamiento, 3 uso tratamiento, 4 cesión o transferencia de datos a un tercero para su tratamiento). Se indica en la 1 “captura de datos”, que los datos para realizar el fichaje se pueden recoger de las siguientes formas:  Mediante la lectura de la huella dactilar en el terminal biométrico instalado en las entradas de los edificios. Se recoge la huella, y la fecha y la hora de entrada y salida.  Mediante la introducción de un código facilitado al empleado y que este debe introducir en el terminal biométrico. En este caso, se recoge el código del empleado y la fecha y la hora de entrada y salida.  A través del ordenador de cada empleado publico en la aplicación FICHAR CHRONOS Riesgos identificados: Figura un cuadro con “Amenaza/riesgo “ en el lado izquierdo y en su apartado derecho, “Riesgo residual”, con el resultado bajo, medio. Destaca:  “Manipulación o modificación no autorizada de la información”: bajo  “Imposibilidad de atribuir a usuarios identificados todas las acciones que se llevan a cabo en un sistema de información”: bajo. Finaliza indicando que el resultado obtenido es aceptable, “por lo que cuando se implanten las recomendaciones realizadas el riesgo sería bajo”. Se señala como recomendación: “Optar por sistemas de verificación o autenticación biométrica 1:1, utilizando la fórmula de combinar código más huella en todos los casos. Además, se recomienda que los sistemas se basen en la lectura de los datos biométricos conservados por la persona trabajadora, por ejemplo en una tarjeta.” 5-En documento aparte, ANEXO V, se aporta un escrito sin firma, fecha ni responsable en el que se indica: “Informe de necesidad y proporcionalidad del control horario en la Consejería de Sanidad”, indicando que la guía laboral de Protección de Datos publicada por la AEPD admite el uso de la huella dactilar como forma de identificación para el control horario de los trabajadores, siempre que se cumpla con todos los principios del RGPD. Idoneidad: La medida permite lograr el objetivo propuesto. El control horario mediante un sistema de huella dactilar consigue controlar la hora de entrada y salida del personal eliminando la posibilidad de suplantación de identidad del empleado. Necesidad: “No existe otra medida más moderada para la consecución de tal propósito con igual eficacia”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/41 El control de horario de los empleados públicos es un tratamiento licito por parte de los servicios de personal de las Consejerías. A la hora de valorar la implantación de una de estas soluciones, se optó por introducir la identificación con huella dactilar ya que es una forma menos suplantable que las otras. Si se utiliza la huella dactilar, solo puede ser el propio empleado el que acceda al sistema de fichaje. Se decidió tras comprobarse el mal uso que se estaba dando a otros sistemas como tarjetas de identificación o códigos. Por tanto, no existe ninguna otra medida que permitiera lograr este objetivo con el mismo nivel de eficacia. Como consecuencia de la pandemia, desde los servicios de personal se ha habilitado una nueva aplicación, FICHAR, para que los empleados puedan fichar en su ordenador al empezar o terminar su jornada laboral, siendo recomendación de los servicios de personal la utilización de esta aplicación. Proporcionalidad (la medida ofrece más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores de conflicto). En este caso, procede ponderar si los beneficios son superiores al perjuicio que esta medida tiene no solo en el derecho a la Protección de Datos. La utilización de la huella es una medida más racional y justa, ya que asegura el momento real en que el empleado ha entrado y salido de su lugar de trabajo. Además, el evitar posibles incumplimientos horarios por parte de un empleado es importante ya que puede dar lugar a que sean otros compañeros los que tengan que asumir su trabajo. Pese a que el uso de la huella supone un tratamiento más invasivo, los beneficios de este sistema no solo para el empleador sino para el interés público superan los perjuicios para este derecho. Además, el resto de las alternativas, uso de credenciales, de códigos, no impiden que se suplante la identidad del empleado.” 6-El terminal biométrico cumple las especificaciones BioAPI (estándar ISO/IEC 19784); Las huellas se almacenan en una base de datos centralizada en SQL SERVER 11. -“Para la recogida de las huellas se usan terminales de control de acceso con sensores biométricos de la marca NITGEN-Fingkey Acces modelo SW101”. “Estos terminales se conectan a un servidor central a través de la red corporativa. La huella se almacena en una bb.dd. centralizada en SQL Server 11 y se asigna para cada usuario al terminal o terminales desde los que puede fichar, no pudiendo fichar en ningún otro”. -“Tanto la codificación como el almacenamiento de las huellas, son realizados por la aplicación ACCESS MANAGER que es la que gestiona todas las transacciones de datos entre los terminales y la base de datos centralizada y sigue las especificaciones BioAPI (estándar ISO/IEC 19784). La aplicación es la que se encarga del cifrado cuya lógica queda totalmente oculta tanto al usuario final como al posible programador. ACCESS MANAGER no almacena huellas dactilares de los usuarios. La huella dactilar es transformada en un código a partir de un algoritmo, y posteriormente eliminada. Aporta pantallazo con imagen “mantenimiento de huellas” de ACCESS MANAGER en la que manifiesta “no existe ya ningún dato biométrico.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/41 - Sobre las medidas adoptadas para garantizar que no es posible la reutilización de los datos biométricos para otra finalidad, señala que las huellas son tratadas exclusivamente por la aplicación ACCESS MANAGER, desde la cual solo se pueden registrar o eliminar, en ningún caso copiar y mucho menos alterar. “Las huellas se almacenan en una bb.dd. centralizada en SQL Server 11 con las mismas medidas de seguridad que el Servicio de Base de Datos tenga para el resto de bb.dd., es decir, forma parte de la infraestructura certificada (Conformidad ENS e ISO 27001). La codificación de la huella se realiza internamente y, al seguir el estándar BioAPI, los técnicos consideran que dificulta la reutilización de la huella en otros sistemas que no sean Nitgen”. 7- Sobre la Evaluación de Impacto, indica que se trata de un tratamiento que viene de la anterior normativa, el fichero de PERSONAL que tenía inscrito la Consejería de Sanidad en la AEPD. Se creó por la Orden de 05/12/2016, de la Consejería de Hacienda y Administraciones Públicas, de creación, modificación y supresión de ficheros con datos de carácter personal de varias Consejerías de la Junta de Comunidades de Castilla-La Mancha. (DOCM Nº 244 de 19/12/2016). “Dicho tratamiento no ha sufrido ningún cambio tecnológico ni funcional que justifique la realización de esta EIPD.” 8-Sobre las causas que han motivado la incidencia que ha originado la reclamación, se remite al ANEXO I 9-Sobre las medidas adoptadas para evitar que se produzcan incidencias similares, fechas de implantación y controles efectuados para comprobar su eficacia, indica que en el tratamiento de datos para la gestión de personal y control horario, se va a incluir información en la aplicación CHRONOS. SEXTO: Con fecha 12/08/2021, de conformidad con el artículo 65 de la LOPDGDD, se admitió a trámite la reclamación presentada por la parte reclamante. SÉPTIMO: Con fecha 4/04/2022, la Directora de la AEPD acordó: “INICIAR PROCEDIMIENTO SANCIONADOR a CONSEJERÍA DE SANIDAD DE LA JUNTA DE COMUNIDADES DE CASTILLA-LA MANCHA, con NIF S1911001D, por la presunta infracción del artículo 35 del RGPD, de conformidad con el artículo 83.4.
3. a)del RGPD.” “A los efectos previstos en el art. 64.2
4. b)de la ley 39/2015, de 1/10, del Procedimiento Administrativo Común de las Administraciones Públicas, (en lo sucesivo, LPACAP) la sanción que pudiera corresponder sería de apercibimiento, sin perjuicio de lo que resulte de la instrucción.” OCTAVO: Con fecha 21/04/2022 se reciben alegaciones, indicando: 1) Reitera que en el momento en que se puso en funcionamiento el sistema, la legitimación se halla en el artículo 6.2 de la LOPD: 2) El artículo 35.1 del RGPD cuya vulneración se imputa prevé que la EIPD sea antes del tratamiento y el principio de legalidad comporta la necesidad de predeterminación normativa de las conductas ilícitas y de sus sanciones. La subsunción de la conducta en el tipo predeterminado no es facultad discrecional de la Adminsitración. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/41 “En el presente caso, entendemos, que en el procedimiento sancionador iniciado, se podría estar vulnerando el principio de tipicidad, toda vez que el sistema de registro de la jornada laboral, mediante huella dactilar, se puso en marcha con anterioridad a la aplicación del RGPD, esto es, bajo la vigencia de la derogada Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal, por lo que no cabría aplicar el punto 1 de artículo 35 del RGPD para iniciar el procedimiento sancionador por vulneración del mismo, pues ello iría en contra de lo establecido por el artículo 25.1 de la Constitución Española, que dispone: “1. Nadie puede ser condenado o sancionado por acciones u omisiones que en el momento de producirse no constituyan delito, falta o infracción administrativa, según la legislación vigente en aquel momento”. 3) El acuerdo de inicio refiere que la EIPD se aplica a operaciones de tratamiento existentes que probablemente entrañan un alto riesgo para los derechos y libertades de las personas físicas y para las que se ha producido un cambio de los riesgos, teniendo en cuenta la naturaleza, el alcance, el contexto y los fines del tratamiento, y la reclamada considera que no se da ningún cambio en los riesgos desde su implantación, siendo una tecnología muy consolidada, “plenamente conocida y utilizada por todo el personal de la Junta”. 4) Indica que a pesar de entender lo anterior, se va a realizar una EIPD de impacto con la participación de las entidades competentes (en materia de sociedad de la información y coordinación de la administración electrónica, encuadradas en la Consejería de Hacienda y Administraciones Públicas). NOVENO: Con fecha 8/11/2022, se inicia un período de practica de pruebas, dando por reproducidos a efectos probatorios la reclamación interpuesta por el reclamante y su documentación, los documentos obtenidos y generados durante la fase de admisión a trámite de la reclamación, y el informe de actuaciones previas de investigación que forman parte del procedimiento E/07369/2021. Asimismo, se da por reproducido a efectos probatorios, las alegaciones al acuerdo de inicio del procedimiento sancionador referenciado, presentadas por la reclamada, y la documentación que a ellas acompaña. Se solicita a la reclamada que aporte o informe:
5. a)En su evaluación de riesgos indican: -“para el control horario una de las formas de captura de datos es la introducción de un código facilitado al empleado y que éste debe introducir en el terminal biométrico”. A este respecto, se le solicita que informen si exclusivamente funciona con este código este tipo de accesos-no precisa huella dactilar- y qué empleados tienen la opción de utilizarlo, desde que fecha y hasta cuando. - Se señala como recomendación: “Optar por sistemas de verificación o autenticación biométrica 1:1, utilizando la fórmula de combinar código más huella en todos los casos. Además, se recomienda que los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/41 sistemas se basen en la lectura de los datos biométricos conservados por la persona trabajadora, por ejemplo en una tarjeta.” Sobre la misma, motivos por los que no decidieron usar esta modalidad.
6. b)Si el control horario con huella fue interrumpido durante la pandemia, y actualmente, que sistema están utilizando.
7. c)Si la entidad utiliza el sistema de control huella dactilar para el control horario desde el ***FECHA.2, hasta ***FECHA.1, fechas desde las que comenzó a ser utilizado por el reclamante, y si cesó su uso el 13/03/2020, motivo, y si el reclamante utilizaba todos los días el sistema de huella dactilar. Motivos por los que se deja de usar en general el sistema de huella para control horario el ***FECHA.1, o si es optativo. Si así fuera, base jurídica usada e información proporcionada a los empleados. Responde con fecha 7/12/2022, tras haberse enviado la propuesta de resolución el 2/12/2022 Manifiesta que “la Resolución de la Dirección General de la Función Pública, de ***FECHA.3, por la que se amplían las medidas extraordinarias en relación con el control horario del personal de la Administración de la Junta de Comunidades de Castilla-La Mancha, dispuso la ampliación hasta el /07/2020 de la suspensión de las reglas de control horario establecidas en el artículo 13 la Orden de 7/09/2009 antes citada (prevista por la Resolución de la Dirección General de la Función Pública de 16/03/2020 durante la vigencia del estado de alarma), así como que a partir del ***FECHA.1, el fichaje se realizaría (obligatoriamente) a través del ordenador de cada usuario o usuaria (pues la aplicación corporativa CHRONOS permite esta técnica). Asimismo, en el informe antes citado se mencionaba que esta resolución fue objeto de adecuada difusión a todo el personal a través de su publicación telemática en el tablón de la aplicación corporativa CHRONOS.” “Por lo que respecta a esta Delegación Provincial, durante el período antes señalado por la Dirección General de Función Pública de suspensión de las reglas de control horario y fichaje obligatorio a través del ordenador (hasta 22-10-2021 como se verá en el siguiente párrafo), el terminal biométrico situado a la entrada del centro estuvo tapado con un cartel indicando la prohibición de su uso, al amparo de las citadas instrucciones y de la instrucción de servicio del Secretario Provincial específica en materia de Covid19, de 12-05-2020, donde expresamente se prohíbe la utilización del dispositivo de fichaje mediante huella y que el personal deberá marcar sus entradas y salidas utilizando su equipo informático a través de la aplicación CHRONOS.” Manifiesta que se adjunta la citada instrucción de servicio específica en materia de Covid19, pero no es aportada. Actualmente, al amparo de la Instrucción 4/2021, de 22/10 de la Dirección General de la Función Pública, sobre control horario del personal empleado público de administración General de la Administración de la Junta de Comunidades de Castilla-La Mancha y sus Organismo Autónomos, a partir del 2/11/2021 el fichaje para el control horario se realizará a través de los dispositivos de lectura biométrica disponibles en cada centro de trabajo, sin que pueda realizarse a través del ordenador de cada usuario o usuaria (salvo para el caso del personal que tenga autorizada la prestación de servicios mediante teleC/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/41 trabajo). Se manifiesta que se adjunta la Instrucción 4/2021 antes citada, pero no es aportada.
8. d)En el informe de la Delegación Provincial de Sanidad aportado en el traslado de la reclamación, indicaron cuando se implantó la medida del uso de la huella dactilar para el control horario: “TERCERO.- Que durante la operación antes citada se dio la circunstancia que algún empleado público se negó a facilitar su huella digital, circunstancia ésta que se solucionó facilitando al empleado un código que este debe introducir en el terminal biométrico. En este caso el terminal recoge el código del empleado y la fecha y hora de entrada o salida. “ Se le pregunta si durante la instauración de este sistema se daba la alternativa a los empleados para usar uno u otro medio, como lo justificaban y a cuantos empleados alcanzó, esta modalidad y porque no era ofrecida a todos. Responde que “en el momento en que en la sección de personal de la Delegación Provincial de la Consejería de Sanidad en ***LOCALIDAD.1 se efectúa la grabación de la huella digital a todo el personal, se indica al mismo, si bien verbalmente, que en caso de fallo del sistema biométrico de marcaje mediante huella, pueden realizar el marcaje a través de la introducción de su número de DNI seguido a continuación de una clave de cuatro dígitos, por lo que todo el personal conoce que existe una alternativa al marcaje a través de la huella digital. Tan solo un empleado se ha negado al registro biométrico mediante huella digital y se le facilitó exclusivamente la alternativa de fichaje antes citada, tan solo dicho empleado público tiene habilitado exclusivamente el fichaje mediante código, y todos los empleados públicos pueden emplear el mismo como alternativa a efectuarlo mediante huella digital.
9. e)Manifestaron en traslado que: “Para la recogida de las huellas se usan terminales de control de acceso con sensores biométricos de la marca NITGEN-Fingkey Acces modelo SW101” Indiquen si esa afirmación es correcta o no sería la correcta que “para la lectura de las huellas…” Responde que, “ consultado al servicio TIC”, “han contestado:””Para la recogida de las huellas se utilizan tanto los terminales de control de acceso (Fingkey Access modelo SW101) como, en algunos casos, los dispositivos de recogida de huellas de sobremesa (Fingkey Hamster ), ambos con sensores biométricos de la marca Nitgen. Los terminales de control de acceso se utilizan también para la lectura de las huellas.”
10. f)Manifiestan en el análisis de riesgos del tratamiento de control horario que cuando hay nuevos empleados públicos que se incorporan, se pone a su disposición diversas posibilidades, entre las que se incluyen la lectura de la huella, o la introducción de un C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/41 código, o fichaje desde el ordenador. Se le pregunta si se da a elegir entre cualquiera de los tres, y si sucede lo mismo con los que habían elegido la opción de huella dactilar o estaban obligados a usarla. Señala que ya ha sido contestado anteriormente y que el marcaje desde el ordenador no está permitido desde la Instrucción 4/2021.
11. g)Papel que ha desempeñado la Delegación de Protección de Datos en la instauración del sistema de control de horario a través de la huella digital, en los cambios del RGPD, y en el documento de evaluación de riesgos. Respondió que “Este sistema de control horario fue instalado en 2016, cuando aún no existía Delegado de Protección de Datos” “Respecto a la evaluación de riesgos, como consecuencia de la reclamación objeto de este periodo de práctica de pruebas, la DPD recomendó al responsable que se realizara una EIPD” Aporta copia de un correo electrónico de 27/04/2022 en el que desde la unidad de protección de datos se informa a personal de la Junta, que es necesario realizar una evaluación de impacto del tratamiento de control horario, asociando personal de la DG Función Pública y representantes de la Consejería de Sanidad
12. h)Valor umbral en el que el software indica que se ha producido coincidencia entre las dos huellas dactilares que se comparan, y que recomendación para este caso da el fabricante. “El nivel de seguridad se establece en la configuración de cada terminal de acuerdo con el método de autenticación utilizado en el mismo: • El nivel de seguridad para la autenticación 1:1 está entre 1 y 9, y el valor predeterminado es 5. • El nivel de seguridad para la autenticación 1:N está entre 5 y 9, y el valor predeterminado es 8. Si el nivel de seguridad es demasiado alto, la tasa de fallos de autenticación puede aumentar, y si el nivel de seguridad es demasiado bajo, la tasa de errores de lectura puede aumentar.”
13. i)Indiquen que sucede si no reconoce la huella que se le presenta, y si almacenaría la plantilla de esa persona. Responde que: “Si no se reconoce la huella que se le presenta al terminal de control de acceso, el programa muestra un mensaje de error al usuario, no produciéndose el fichaje correspondiente. Si por plantilla del usuario se entiende la traslación matemática de la imagen de la huella dactilar que realiza el lector biométrico, ésta se almacena en la bb.dd. centralizada cuando la misma es recogida en el proceso de alta del usuario y es copiada a cada uno de los terminales de control de acceso en los que dicho usuario vaya a realizar sus fichajes. Las lecturas de huella que se realizan a la hora de fichar se utilizan para realizar la comparación con las almacenadas en el propio terminal y, en caso de coincidencia, registrar la identificación del usuario, así como la fecha y hora del acceso. Los usuarios tienen la opción de identificarse con su Identificador de AccessManager (que C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/41 hacemos coincidir con su DNI) antes de poner el dedo para el reconocimiento de su huella. En este caso el terminal solo coteja la huella recién leída con la almacenada para dicho usuario en el propio terminal”.
14. j)Como garantizan que la plantilla biométrica extraída con el software adquirido es especifica solo para esa persona y no es utilizada por otros responsables del tratamiento de sistemas similares. Responde que: “desde las diferentes Consejerías, los usuarios de los servicios de personal, no tienen acceso a las plantillas. Pueden registrar huellas a través de la aplicación y en ese proceso pueden ‘ayudar’ a través de la aplicación a que dicha recogida sea lo más fina posible, pero en ningún caso pueden manipular la huella y mucho menos copiarla. Las plantillas solo son accesibles a nivel de bb.dd. Y las huellas que se leen a la hora de hacer el fichaje, no se almacenan, solo se utilizan para el cotejo con las plantillas.”
15. k)Se considera que cuando se utiliza el sistema de fichaje con huella, si se sale, se ha de marcar la huella, y si se vuelve ese mismo día se ha de marcar de nuevo. Indiquen como ha de hacer el empleado para justificar los diversos motivos por los que se puede ausentar del trabajo, aportando la instrucción o norma que se les hubiera dado a conocer. Responde que “Los motivos se implementan en CHRONOS, es decir, tiene que solicitar en la herramienta la situación que proceda en cada caso y ahí sí que hay un listado de motivos de ausencia de puesto de trabajo (registro de solicitud, conceptos) También que los justificantes se adjuntan por CHRONOS.”
16. l)Informen si con el cambio del RGPD se les proporcionó información a los empleados sobre los nuevos elementos de transparencia en el tratamiento de sus datos. “No, en el momento de la entrada en vigor del RGPD, pero como consecuencia de la reclamación, la DPD recomendó que se incorporase la información del artículo 13 correspondiente al tratamiento en la aplicación de control horario CHRONOS de la Consejería de Sanidad”,
17. m)Si han realizado ya la evaluación de impacto que manifestaban en sus alegaciones, copia de la misma o estado en que se encuentra. La DPD junto con la Unidad de Protección de datos recomendó al responsable la realización de una EIPD, no solo del tratamiento del control horario, sino de los todos los tratamientos relacionados con la gestión de personal; por tanto, el alcance de la EIPD incluye todos esos tratamientos en los que existen dos responsables, la Secretaría General de la Consejería de Sanidad y la Dirección General de Función Pública. Se recomienda que se haga así ya que según lo estipulado en los decretos de competencias, las Secretarias tienen la competencia para la “jefatura superior e inspección del personal de los servicios centrales y provinciales” y la Dirección General de Función Pública para “la elaboración de la normativa e instrucciones en materia de función pública, el asesoramiento jurídico y emisión de informes en el ámbito de sus competencias y el asesoramiento en materia de recursos humanos, así como la colaboración, asistencia y coordinación de los órganos con competencias en materia de personal.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/41 “realizando la evaluación de esta forma se podría extrapolar al resto de las Consejerías de la Administración regional con los ajustes que en su caso fuera preciso realizar en caso de tramitación de forma distinta de cualquier de los procesos.”. Aporta mensaje de reunión de 12/05/2022, indicando que se ha efectuado la descripción del ciclo de vida de los datos, si bien las reuniones no se llevan a cabo telemáticamente, sino por correo electrónico. SÉPTIMO: Con fecha 2/12/2022 , se emite la propuesta de resolución con el literal: “Que por la Directora de la Agencia Española de Protección de Datos se sancione con apercibimiento a la CONSEJERÍA DE SANIDAD DE LA JUNTA DE COMUNIDADES DE CASTILLA-LA MANCHA, con NIF S1911001D, por una infracción del artículo 35 del RGPD, de conformidad con el artículo 83.4
18. a)del RGPD, y a efectos de prescripción en el artículo 73.
19. t)de la LOPDGDD.” OCTAVO: Con fecha 5/12/2022 la reclamada accedió a la notificación. Con fecha 20/12/2022, se reciben alegaciones en las que indica: 1) Reitera lo ya manifestado y solicita sean tenidas en cuenta las respuestas dadas a las pruebas. 2) Estima que el sistema de control con la huella dactilar, es proporcional pues no se ha encontrado ningún sistema que permita con la misma eficacia cumplir con el objetivo de controlar la jornada laboral del empleado publico, toda vez que este es el único que obliga al trabajador a desplazarse al centro de trabajo. Otros sistemas, como el de tarjetas, códigos o la firma, no garantizan que sea el propio trabajador el que fiche. Tampoco tienen la misma eficacia otros sistemas como el fichaje mediante ordenador, toda vez que el trabajador, como se ha comprobado en distintas auditorías realizadas, puede fichar desde otros dispositivos como el ordenador de casa, el móvil etc., y por tanto no cumple con la finalidad de controlar que el trabajador se encuentra realmente en su puesto de trabajo. Por otra parte, el sistema de fichaje mediante el ordenador no es extensible a todo el personal, ya que hay empleados públicos que no disponen de ordenador. Además, se recibían muchas quejas de parte del personal por el tiempo que perdía desde que entraba al edificio, llegaba a su al ordenador personal, entraba en el programa y fichaba. Por todo ello, el sistema de fichaje mediante ordenador se sigue manteniendo en la actualidad únicamente para el personal que teletrabaja en los días en que lo hace. 3) Aporta copia de la Instrucción 4/2021, de 22/10 de la Dirección General de la Función Pública, sobre control horario del personal empleado público de la Admón. General de la Administración de la Junta de Comunidades de Castilla-La Mancha y sus OOAA, en la que destaca: “Primero. A partir del 2 de noviembre de 2021 el fichaje para el control horario se realizará a través de los dispositivos de lectura biométrica disponibles en cada centro de trabajo, sin que pueda realizarse a través del ordenador de cada usuario o usuaria. Segundo. El personal que tenga autorizada la prestación de servicios mediante teletrabajo continuará registrando el tiempo de trabajo de cada jornada realizada bajo dicha modalidad a través C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/41 de la aplicación Chronos, de acuerdo con el apartado 4.3 de la Instrucción 3/2021, de 21 de junio, de esta Dirección General de la Función Pública.” NOVENO: De las actuaciones practicadas en el presente procedimiento y de la documentación obrante en el expediente, han quedado acreditados los siguientes: HECHOS PROBADOS 1- En la Dirección Provincial de Sanidad de ***LOCALIDAD.1, (DPS) desde ***FECHA.2 hasta 13/03/2020, en que se suspende por la pandemia, el sistema de control horario empleado ha sido el fichaje mediante comprobación de huella digital. Desde el 13/03/2020, el personal podía fichar a través del ordenador de cada usuario con una aplicación denominada CHRONOS. El reclamante que prestaba servicios en dicha sede manifestó que ha estado fichando hasta el 13/03/2020 con ese sistema, aplicable según la reclamada para personal funcionario, eventual o laboral. 2- La Orden de 7/09/2009 de la Consejería de Administraciones Públicas y Justicia sobre horarios de trabajo y vacaciones del personal funcionario regula la duración de la jornada de trabajo, el horario, y la “necesidad de dotación de medios electrónicos o informáticos adecuados para el control del horario del personal, cumpliendo la normativa vigente sobre protección de datos de carácter personal.” La Orden 34/2020, de 15/03, de la Consejería de Hacienda y Administraciones Públicas, por la que se regula la prestación de servicios en la Administración General de la Junta de Comunidades de Castilla-La Mancha en desarrollo de las medidas adoptadas como consecuencia de la declaración del estado de alarma para la gestión de la situación de crisis sanitaria ocasionada por el COVID-19 estableció como modo habitual de prestación de servicios, la modalidad no presencial, sin perjuicio de que en cualquier momento puedan requerirse modalidades presenciales cuando sea necesario. En desarrollo de la misma, la DG Función Pública adoptó medidas extraordinarias en relación con el control horario del personal de la Admón de la Junta de Comunidades de CLM, resolviendo “suspender las reglas de control horario previstas en el artículo 13 de la Orden de la Consejería de Admnes. Públicas de 7/09/2009 sobre horarios de trabajo y vacaciones del personal funcionario La resolución de la Dirección General de la Función Pública sobre medidas organizativas y de prevención de riesgos laborales para la reincorporación presencial del personal de 10/05/2020 señalaba “En relación a la utilización de dispositivos de lectura biométrica para el fichaje, se continuará con la medida establecida el 13/03/2020 que posibilita realizar el fichaje mediante CHRONOS a través del ordenador de cada usuario o usuaria.” 3-Según ha manifestado la reclamada, en la DPS de ***LOCALIDAD.1, desde ***FECHA.2, hasta 13/03/2020, el sistema de control horario empleado ha sido el fichaje mediante comprobación de huella digital, interrumpiéndose por la pandemia y reanudándose el 2/11/2021. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 18/41 También existe el régimen de teletrabajo (solo puestos de trabajo susceptibles de teletrabajo) que se conjuga con jornadas presenciales-al menos dos a la semana (Instrucción 3/2021 de 29/06 de la DGFP) en el que el registro de la jornada se efectúa a través de la aplicación CHRONOS. No obstante, en el análisis de riesgos aportado por la reclamada, de 16/01/2021: en cuanto al fichaje, señala que la: “captura de datos” para el fichaje, se puede recoger de las siguientes formas,  Mediante la lectura de la huella dactilar en el terminal biométrico instalado en las entradas de los edificios. Se recoge la huella, y la fecha y la hora de entrada y salida.  Mediante la introducción de un código facilitado al empleado y que este debe introducir en el terminal biométrico. En este caso, se recoge el código del empleado y la fecha y la hora de entrada y salida.” La reclamada señala que solo hay un empleado al que se aplica este sistema, que se negó a proporcionar la huella, si bien se informa verbalmente de esta opción a todos, circunstancia que no queda acreditada.  A través del ordenador de cada empleado publico en la aplicación FICHAR CHRONOS.- sin especificar los paréntesis temporales y el colectivo de teletrabajo: 4-Por orden de 5/12/2016, la Consejería de Hacienda y Administraciones Públicas, ejerciendo sus competencias sobre creación, modificación y supresión de ficheros con datos de carácter personal de varias Consejerías de la Junta, determinó la creación del fichero PERSONAL, Diario oficial de CLM de 19/12/2016, “para la gestión de los RRHH de la Consejería”, en tipos de datos personales que contiene, figura entre otros: “huella”, en descripción -tipos de datos personales que contiene-, figura: “Datos relativos a infracciones administrativas”, con la Secretaria General de la Consejería de Sanidad como responsable. Manifiesta la reclamada que con la entrada en vigor del RGPD, se transformó en un tratamiento que forma parte del Registro de Actividad del Tratamiento, como “gestión de personal de la Consejería de Sanidad”, con finalidad: gestión del expediente del personal funcionario, eventual y laboral adscrito a la Consejería, control horario o de presencia del personal, y como base jurídica: la ley 4/2011 de 10/03 del empleo público de Castilla la Mancha, el Real Decreto Legislativo 5/2015 de 30/10 por el que se aprueba la ley del Estatuto básico del empleado público y el Real Decreto Legislativo 2/2015 de 23/10 por el que se aprueba el texto refundido de la de la ley del Estatuto básico de los trabajadores. En Tipos de datos: “datos relativos a infracciones administrativas, NIF, DNI, número de Seguridad Social, nombre y apellidos, dirección, teléfono, firma, correo electrónico, número de registro de personal, huella. Otros datos: características personales, académicos y profesionales detalles del empleo económicos financieros y de seguros” No obstante, la reclamada manifestó que en la base jurídica se basa en los artículos 6.1.b), 6.1.c), 6.1.
20. e)y 9.2.b), del RGPD, y dado que la medida la implantó antes de la entrada en vigor del RGPD, el artículo 6.2 de la LOPD 15/1999. 5-Como ampliación de medidas extraordinarias con el control horario del personal de la Administración de la Junta de Comunidades de Castilla la Mancha, la D. Gral. de la Función Pública resolvió el ***FECHA.3, que el personal, desde el ***FECHA.1 puede emplear el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/41 ordenador del trabajo para realizar el fichaje de manera alternativa al dispositivo de control de huella. 6- Las huellas se almacenan en una base de datos centralizada en SQL Server 11, incluida en la infraestructura certificada. Para la lectura de las huellas se usan terminales de control de acceso con sensores biométricos, marca NITGEN-Fingkey Acces modelo SW101. “Estos terminales se conectan a un servidor central a través de la red corporativa. La huella se almacena en una base de datos centralizada en SQL Server 11 y se asigna para cada usuario al terminal o terminales desde los que puede fichar, no pudiendo fichar en ningún otro”. La aplicación ACCESS MANAGER hace que la huella se transforme en un código a partir de un algoritmo, y gestiona todas las transacciones de datos entre los terminales y la base de datos centralizada, también la recogida o registro de la huella y codificación, almacenándose en forma cifrada el código de la huella, huella que luego es eliminada. 7- A través de la huella dactilar utilizada por la reclamada, y que sirve con la finalidad de control horario, en entrada y salida del centro de trabajo, la reclamada efectúa deducción de haberes, ajustándose en su calculo a la Ley 1/2021 de 21/02 de medidas complementarias para la aplicación del plan de garantías de servicios sociales de la CCAA de Castilla la Mancha, BOE 13/08/2012. La reclamada efectúa las tareas de control horario utilizando una aplicación denominada FICHAR CHRONOS, que también almacena todos los datos en una base de datos tipo SQL Server, y en la que los empleados fichan en el ordenador (RAT), desde el 13/03/2020, como consecuencia de la pandemia, al empezar o terminar su jornada laboral, “sin perjuicio de las especificidades y especialidades de la tipología de personal y servicios públicos a prestar por cada Consejería y Organismo Autónomo” 8- La reclamada efectuó un análisis de riesgos con fecha 16/01/2021 con la herramienta GESTIONA (que la AEPD pone en la web), a base de una hoja de completar con respuestas 17, dando un resultado de: -Riesgos identificados: Figura un cuadro con “Amenaza/riesgo“ en el lado izquierdo y en su apartado derecho, “Riesgo residual”, con el resultado bajo, medio. Destaca:  “Manipulación o modificación no autorizada de la información”: bajo  “Imposibilidad de atribuir a usuarios identificados todas las acciones que se llevan a cabo en un sistema de información”: bajo. Finaliza indicando que el resultado obtenido es aceptable, “por lo que cuando se implanten las recomendaciones realizadas el riesgo sería bajo”. Se señala como recomendación: “Optar por sistemas de verificación o autenticación biométrica 1:1, utilizando la fórmula de combinar código más huella en todos los casos. Además, se recomienda que los sistemas se basen en la lectura de los datos biométricos conservados por la persona trabajadora, por ejemplo en una tarjeta.” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/41 9-Según la reclamada, las garantías adecuadas para la protección de los derechos y libertades de los interesados son las relacionadas con el cumplimiento de los principios de protección de datos recogidos en el artículo 5 del RGPD. En el caso del control horario solo se utiliza para comprobar la presencia del trabajador en su lugar de trabajo durante el tiempo establecido por la Administración. “Tal y como se ha indicado en el ANEXO 1, en caso de incumplimiento de horario se podrá reducir de la nomina la parte proporcional al tiempo no trabajado”. 10- En un documento diferente, sin fecha ni firma, referido a la idoneidad, necesidad y proporcionalidad alude la reclamada a su uso para evitar suplantar la identidad del empleado, y que se decidió la huella “tras comprobar el mal uso que se estaba dando a otros sistemas como tarjetas de identificación o códigos” sin aportar evidencia probatoria. 11-Sobre la Evaluación de Impacto, indica la reclamada que no está obligada a realizarla, pues se trata de un tratamiento que viene de la anterior normativa al RGPD. Indica que “Dicho tratamiento no ha sufrido ningún cambio tecnológico ni funcional que justifique la realización de esta EIPD.” 12-En pruebas contestó la reclamada que estaba elaborando una evaluación de impacto del control horario. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para iniciar y resolver este procedimiento la Directora de la Agencia Española de Protección de Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II Sobre los hechos objeto de reclamación originaria de fecha de 19/08/2020, y su ampliación mediante los escritos de 4 y 8/06/2021, referidos a entregas de documentos sin la debida consideración de la confidencialidad, o reserva, se debe señalar que ya se resolvía y pronunciaba la AEPD sobre estas cuestiones mediante una resolución de inadmisión a trámite que no fue recurrida. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/41 En la ampliación a la reclamación originaria, mediante los escritos de 4 y 8/06/2021, se ponen de manifiesto hechos nuevos. En unos, las pruebas aportadas como la mera presencia de un tercero, empleado, ante la persona que entregaba el documento, sin que se revele un acceso al mismo, o la manifestación de que se entregó el documento en abierto, por un empleado, no son suficientes para entender acreditada la intromisión ilegitima en el derecho de protección de datos, en este caso en el desarrollo de funciones en el empleo público que desarrolla el reclamante. En otros casos, se produce una entrega de documentos de trabajo. Finalmente, datos de contacto como el teléfono, que se contemplan en el tratamiento de gestión de personal, dada la excepcional situación y funciones del puesto a desarrollar. Estas manifestaciones por si solas no constituyen pruebas decisivas para imputar una falta de confidencialidad en el curso del desempeño habitual de las funciones. III En cuanto a la reclamación de 8/06/2021, referida al uso de la huella dactilar desde el 13/03/2020, los datos biométricos los define el artículo 4.14 del RGPD: “datos biométricos»: datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos;” El ámbito de aplicación del RGPD extiende su protección, tal y como establece su artículo 1.2, a los derechos y libertades fundamentales de las personas físicas y, en particular, su derecho a la protección de los datos personales, definidos en su artículo 4.1 como “toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.” Cada individuo tiene impresiones dactilares únicas que muestran características específicas que pueden medirse para decidir si una impresión dactilar corresponde con una muestra registrada. Los datos biométricos presentan la particularidad de ser producidos por el propio cuerpo y lo caracterizan definitivamente. Por lo tanto, son únicos, permanentes en el tiempo y la persona no puede liberarse de ellos, no se pueden cambiar nunca, ni con la edad, creando cuestiones de responsabilidad en caso de compromiso-pérdida o intrusión en el sistema. Son datos de cuyo uso pueden desprenderse riesgos significativos para los derechos fundamentales y las libertades, y por ello unos de los denominados de “categoría especial”, aunque no definidos por el RGPD, en principio está prohibido su tratamiento en el artículo 9.1 del RGPD. Similar situación de prohibición se contempla en la a Recomendación CM/Reclamante