← España

PS-00552-2024

1/73  Expediente N.º: EXP202310397 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR...............................................2 ANTECEDENTES..........................................................................................................2 PRIMERO: Reclamación............................................................................................2 SEGUNDO: Actuaciones de traslado.........................................................................3 TERCERO: Contestación a las actuaciones de traslado............................................4 CUARTO: Actuaciones previas de investigación......................................................10 QUINTO: Volumen de negocio.................................................................................16 SEXTO: ***PROGRAMA.1.......................................................................................16 SÉPTIMO: Acuerdo de inicio de procedimiento sancionador....................................16 OCTAVO: Ampliación de plazo y copia del expediente.............................................16 NOVENO: Sobre la medida provisional....................................................................17 DÉCIMO: Alegaciones al acuerdo de inicio..............................................................17 DÉCIMOPRIMERO: Acuerdo de sustitución de instructor........................................19 DÉCIMOSEGUNDO: Propuesta de resolución.........................................................19 DECIMOTERCERO: Alegaciones a la propuesta de resolución...............................20 HECHOS PROBADOS................................................................................................22 FUNDAMENTOS DE DERECHO.................................................................................24 I. Competencia........................................................................................................ 24 II. Cuestiones previas...............................................................................................25 2.1 Datos personales objeto de tratamiento..........................................................25 2.2. Operaciones objeto de tratamiento................................................................29 2.3. Responsable del tratamiento.........................................................................30 2.4 Análisis del supuesto presente: tratamiento realizado por el nuevo sistema de registro de jornada implantado por MAXAMCORP................................................30 III.Contestación a las alegaciones al acuerdo de inicio............................................38 IV.Contestación a las alegaciones a la propuesta de resolución..............................43 V. Artículo 9 del RGPD. Datos de categoría especial...............................................51 VI. Tipificación de la infracción del artículo 9 del RGPD y calificación a efectos de prescripción.............................................................................................................. 55 VII.Sanción por la infracción del artículo 9 del RGPD...............................................55 VIII. Obligación incumplida. Sobre la obligación de realizar una EIPD previa que cumpla con los requisitos previstos en el artículo 35 del RGPD...............................58 C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 2/73 IX.Tipificación de la infracción del artículo 35 del RGPD y calificación a efectos de prescripción.............................................................................................................. 66 X. Sanción por la infracción del artículo 35 del RGPD..............................................67 XI. Levantamiento de las medidas provisionales......................................................68 XII.Medidas correctivas............................................................................................69 RESUELVE:................................................................................................................. 70 RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los siguientes ANTECEDENTES PRIMERO: Reclamación El 12 de julio de 2023 se interpuso reclamación ante la Agencia Española de Protección de Datos (AEPD) por posibles infracciones imputables a MAXAMCORP INTERNATIONAL, S.L. con NIF B84967587 (en adelante, la empresa, parte reclamada o MAXAMCORP). Los hechos que se ponen en conocimiento de esta autoridad versan sobre la utilización por parte de la empresa de un sistema de fichaje basado en datos biométricos (huella dactilar) que habría sustituido a un sistema anterior basado en tarjeta magnética. Asegura que para la instauración del sistema no fue recabado de manera correcta el consentimiento de los trabajadores y que no se llevó a cabo, además, de una adecuada EIPD ni un RAT. Junto con el escrito se aporta la siguiente documentación: o Carta de respuesta de la empresa MAXAMCORP de 23 de mayo de 2023, dirigida al Comité de Empresa de Páramo de Mesa, en respuesta al escrito que el Comité de Empresa hizo llegar a la Dirección de la Compañía el día 10 de mayo de 2023. En la empresa rechaza la reclamación interpuesta e indica que no se tratan datos biométricos se registra ni almacena ningún dato personal con el nuevo sistema de registro, pues, al poner el dedo en el terminal se produce una lectura parcial de la huella, no visualizándose esta al completo, solo distintas partes separadas de la huella. Indica la carta que previamente a su implantación se realizó una evaluación de impacto del tratamiento en protección de datos. En la misma se indica literalmente lo siguiente: “Acusamos recibo del escrito que el Comité de Empresa hizo llegar a la Dirección de la Compañía el día 10 de mayo de 2023. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 3/73 […] el nuevo sistema de registro de la jornada no registra ni almacena ningún dato de carácter personal. Es decir, no existe ningún registro de dato biométrico, ni, por tanto, tratamiento de datos. El empleado, al poner el dedo en el terminal se produce una lectura parcial de la huella. Por lo que no se visualiza la huella dactilar al completo, sino solamente distintas partes separadas de la misma. A continuación, se encripta dicha lectura, convirtiéndola en un código numérico, sin asociarse lo que se ha tomado con su titular, evitando: (

  1. i)el tratamiento de datos, (
  2. ii)identificación del interesado con su huella y (iii) utilización de un medio intrusivo en la privacidad del interesado. En contraparte, con este medio se consigue la proporcionalidad con el fin pretendido (cumplimiento de la Ley), dándolo a conocer a los empleados a través de un comunicado antes de su puesta en funcionamiento. Antes de la implantación del actual sistema, se han barajado distintas opciones, de las cuales, tras un exhaustivo análisis, se ha optado por el empleo de la huella dactilar según lo previsto al párrafo anterior. De entre todas las opciones posibles, se llegó a la conclusión de que el sistema escogido es el más seguro y el más operativo conforme a la casuística de la fábrica. Incluso, aun no siendo obligatorio en el caso que nos ocupa, la empresa decidió, para mayores garantías, realizar previamente una evaluación de impacto del tratamiento en protección de datos (EIPD). Por los motivos anteriormente expuestos, nos gustaría pedirles que reconsideren su postura, ya que entendemos que la misma se encuentra infundada. Asimismo, quisiéramos transmitirles nuestra plena confianza tanto en el sistema implementado como en el proveedor contratado para ello. Ambos cuentan con auditorias al efecto y con los oportunos certificados que acreditan el escrupuloso cumplimiento de la normativa de protección de datos a la que se está obligado. En definitiva, podemos garantizarles que el sistema de registro de jomada, que se pretende habilitar en la fábrica de Páramo de Masa, no requiere de ningún dato biométrico de carácter personal. Por tanto, este sistema no incluye el tratamiento de datos personales y, por consiguiente, no vulnera ni restringe ningún derecho fundamental de las personas trabajadoras. Ni la empresa ni la proveedora del servicio almacenan huellas dactilares de ningún trabajador.” SEGUNDO: Actuaciones de traslado De conformidad con el artículo 65.4 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante LOPDGDD), con fecha de 28/07/2023 se dio traslado de dicha reclamación a la entidad reclamada MAXAMCORP, para que procediese a su análisis e informase a esta Agencia en el plazo de un mes, de las acciones llevadas a cabo para adecuarse a los requisitos previstos en la normativa de protección de datos. El traslado, que se practicó conforme a las normas establecidas en la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (en adelante, LPACAP) mediante notificación electrónica, no fue recogido por el responsable, dentro del plazo de puesta a disposición, entendiéndose rechazada conforme a lo previsto en el art. 43.2 de la LPACAP en fecha 08/08/2023, como consta en el certificado que obra en el expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 4/73 Aunque la notificación se practicó válidamente por medios electrónicos, dándose por efectuado el trámite conforme a lo dispuesto en el artículo 41.5 de la LPACAP, se reiteró nuevamente por vía electrónica siendo aceptada por la empresa el mismo día 08/08/2023. TERCERO: Contestación a las actuaciones de traslado. Con fecha 07/09/2023 se recibe en esta Agencia escrito de respuesta a las actuaciones de traslado efectuadas. Junto con el escrito de respuesta al traslado se incluye la siguiente documentación: o o o o o o o o o o Evaluación de Impacto, de fecha 1 de febrero de 2023. Descripción Técnica de Solución ***PROGRAMA.1 (Descripción del sistema, criterios de codificación y almacenamiento, motivos que justifican la necesidad y proporcionalidad, medidas para evitar el uso de datos biométricos para otra finalidad y para proteger la confidencialidad de los datos), de fecha 1 de septiembre de 2023. Comunicado al Comité de Empresa informando sobre la intención de MAXAMCORP de implementar el sistema de registro de jornada, con fecha 1 de diciembre de 2022. Acta de reunión con el Comité de Empresa, informando que el sistema funcionaría principalmente a través de la huella dactilar. Fecha 13 de diciembre de 2022. “Acuerdo de registro de jornada Paramo de Mesa” adoptando por los representantes de los trabajadores y la empresa, en el que se dictan nuevas instrucciones de registro de jornada, de fecha 29 de marzo de 2023. Carta del Comité de Empresa dirigida a la empresa en la que muestran su disconformidad con el empleo de la huella dactilar. Consideran que existe un tratamiento de datos biométricos que no se ajusta a la normativa. Fecha 10 de mayo de 2023. Acta de reunión con el Comité de Empresa que tiene por objeto contestar a la carta anterior, en la que se aclarara que no existe propiamente tratamiento de datos biométricos. Fecha 19 de mayo de 2023. Contestación de la dirección de MAXAMCORP al Comité de Empresa con fecha 23 de mayo de 2023, en la que le responden a su reclamación frente al sistema de huella dactilar Informe técnico elaborado por el departamento de seguridad y de prevención de riesgos laborales de MAXAMCORP. Fecha 1 de junio de 2023. Comunicado a los trabajadores por mail y a través de los tablones de anuncios de la fábrica que el 7 de junio tendría lugar el inicio del registro de la jornada. Fecha 2 de junio de 2023. La reclamada en su escrito a la AEPD manifiesta lo siguiente: 1-. Respecto a la base jurídica y la finalidad del tratamiento La parte reclamada señala en su respuesta al traslado de la reclamación que “la base jurídica del tratamiento está en el cumplimiento de una obligación legal establecida en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 5/73 el año 2019 (Real Decreto-Ley 8/2019, de 8 de marzo, de medidas urgentes de protección social y de lucha contra la precariedad laboral en la jornada de trabajo) y recogida en el artículo 34.9 del Estatuto de los Trabajadores, que literalmente establece: • La empresa garantizará el registro diario de jornada, que deberá incluir el horario concreto de inicio y finalización de la jornada de trabajo de cada persona trabajadora, sin perjuicio de la flexibilidad horaria que se establezca. • Mediante negociación colectiva o acuerdo de empresa o, en su defecto, decisión del empresario previa consulta con los representantes legales de los trabajadores en la empresa, se organizará y documentará este registro de jornada. • La empresa conservará los registros diarios de jornada durante cuatro años y permanecerán a disposición de las personas trabajadoras, de sus representantes legales y de la Inspección de Trabajo y Seguridad Social.” Respecto a la finalidad del tratamiento, MAXAMCORP indica: “La finalidad del registro es garantizar el cumplimiento de la jornada laboral y la presencia en el puesto de trabajo, así como documentar, en su caso, las horas extraordinarias del trabajador, control de presencia de los trabajadores, control horario de los trabajadores, gestión permisos y ausencias.” 2-. Respecto a las categorías de interesados y las garantías implementadas para la protección de los derechos y libertades de las personas La parte reclamada explica que los únicos interesados son los empleados de MAXAMCORP. Con relación a las garantías implementadas para la protección de los derechos y libertades de las personas, MAXAMCORP manifiesta que, “con la implementación de este sistema, garantiza la confidencialidad, integridad y disponibilidad de la información. Para la completa operatividad del sistema de registro diario de jornada se han contratado los servicios de una empresa de la máxima experiencia y garantías como es ***EMPRESA.1 que a estos efectos ha trabajado con su "business partner" ***EMPRESA.2„ habiendo acreditado, esta última compañía, la calidad y seguridad de sus servicios mediante la correspondiente certificación ISO 27001 y su inclusión en el Esquema Nacional de Seguridad. La implantación de este sistema respeta el cuerpo autorregulatorio desarrollado por MAXAMCORP bajo su política de seguridad y seguridad de la información y la política de privacidad”. 3-. Respecto a la Evaluación de Impacto (EIPD) La parte reclamada aporta como documento una copia de la EIPD, de fecha 1 de febrero de 2023. En ella se refleja la información indicada en los dos apartados anteriores. El tratamiento objeto de la EIPD se identifica con la denominación "Registro diario de jornada MAXAMCORP" que, según se especifica en dicho documento, consiste en “verificación del registro diario de la jornada de los trabajadores de las plantillas de las C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 6/73 compañías afectadas a los centros de trabajo, mediante la lectura parcial de la huella dactilar, o mediante la lectura de las correspondientes tarjetas electrónicas, ambas a través de dispositivos colocados en la entrada de los centros de trabajo o mediante dispositivos ubicados en los teléfonos móviles utilizados por los propios trabajadores.” La EIPD explica con detalle el sistema de registro diario de jornada, concluyendo que no existe tratamiento de datos personales, realizando manifestaciones como las siguientes: o “En cuanto al sistema de registro diario de jornada a través de huella, tras la lectura de la misma por los oportunos dispositivos electrónicos, se procederá a la conversión de dichos fragmentos en un dato no personal mediante un sistema que posibilita su transformación en un "algoritmo de encriptación de punta a punta" para su posterior almacenamiento en los servidores del responsable hasta que se haga, en su caso, el uso permitido de los mismos.” o “Aunque no se ha dejado conscientemente ningún aspecto fuera de la presente EIPD, lo cierto es que el alcance de esta se ha centrado en los aspectos relativos a la posible captura de datos biométricos (captación de huella), llegándose a la conclusión de que, al ser una lectura parcial de huella convertida en un algoritmo de encriptación de punta a punta, no implica tratamiento de datos personales.” o “V. DESCRIPCIÓN DEL TRATAMIENTO Como se ha expuesto con anterioridad, al ser una lectura parcial de huella convertida en un algoritmo de encriptación de punta a punta, no implica un tratamiento de datos personales. El sistema de registro diario de jornada, a través de la lectura de fragmentos de huella, se estructurará en tres fases o momentos; a saber:

(1)Como ha quedado indicado anteriormente la lectura de fragmentos de la huella, a través de los correspondientes dispositivos de hardware específicos instalados en los centros de trabajo de la empresa responsable de tratamiento:
(2)La conversión del mapa creado a partir de la lectura de fragmentos de la huella en un "algoritmo encriptado de punta a punta", todo ello mediante el correspondiente software; y
(3)El almacenamiento del mencionado algoritmo disponible para la empresa responsable y, en su caso, para las demás personas y entidades que conforme a la ley pueden tener derecho a acceder al mismo. Los dispositivos de hardware han sido adquiridos por la empresa responsable siguiendo las recomendaciones de su proveedor de servicio en esta materia, por considerar que los mismos gozan de todas medidas legalmente requeridas y que ofrecen las máximas garantías. La fase de conversión del mapa creado a partir de la lectura de fragmentos de la huella en "algoritmo encriptado de punta a punta" se lleva a cabo mediante el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 7/73 oportuno software", que permite que en realidad no viajen los datos personales sino los mencionados algoritmos, lo que proporciona el nivel de seguridad deseado en todo el proceso.” El apartado VII de la EIPD contiene el análisis de la necesidad y proporcionalidad del tratamiento, al que se hará referencia en el Fundamento de Derecho VI, punto 2, al analizar el cumplimiento de este requisito. En su punto sexto se refiere al “Análisis de los factores de riesgo y a las medidas de control para la reducción del riesgo”. No obstante, no se enumeran los riesgos, ni el nivel de riesgo, sino que se enumeran en el mismo 4 medidas adoptadas para su minimización. 4-. Respecto a la descripción del sistema. ***PROGRAMA.1. La parte reclamada anexa el documento Descripción Técnica de Solución ***PROGRAMA.1, con el objeto de detallar la descripción del sistema, criterios de codificación y almacenamiento, motivos que justifican la necesidad y proporcionalidad, medidas para evitar el uso de datos biométricos para otra finalidad y para proteger la confidencialidad de los datos. Dicho documento describe el funcionamiento del sistema de tratamiento de datos relativos a la solución ***PROGRAMA.1 y en concreto cómo se gestiona el proceso de captación de huellas dactilares. Indica que “La solución ***PROGRAMA.1 es un software que dispone de un módulo para la gestión de personal que permite recoger, consultar y crear datos sobre empleados necesarios para su registro diario de jornada. (…) Los dispositivos de lectura son dispositivos ***EMPRESA.3 ((...)) que permiten la identificación biométrica por huella digital y con tarjetas electrónicas RFID. […] (…) proceso de captación de huellas dactilares, en la Base de Datos de la solución no se guarda ningún dato biométrico capturado por los lectores. […] El dato biométrico se lee del terminal de fichaje y se codifica bajo un cifrado único por dato construyendo un patrón biométrico, que no es una imagen o copia del dato biométrico y por tanto no puede suplantar a éste. El patrón biométrico se guarda en la base de datos de la aplicación y en un fichero privado que usa la Librería del Lector de Huellas. Cuando se lee el dato biométrico se llama a una función de la interfaz del reloj y se determina el Empleado en base al Patrón, no realizándose ninguna comparación de huella. Si algún código cifrado o patrón es el mismo, con un alto porcentaje de similitud, que el leído, se da por válida la lectura. En ningún caso los datos almacenados pueden servir para autenticarse por sí solos sin la huella del usuario. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 8/73 De este modo, se asegura que los puntos característicos de las huellas dactilares recopilados por todos los lectores no se pueden utilizar para restaurar las imágenes originales de las huellas dactilares.” 5-. Respecto a la información facilitada a los interesados MAXAMCORP señala que “mantuvo criterios de información plena y transparencia absoluta para con los representantes de sus trabajadores durante todo el proceso de análisis, preparación e implantación del sistema de registro de jornada, como lo prueban las siguientes comunicaciones mantenidas al respecto.” Analizando las comunicaciones, se presenta a continuación la información más relevante extraída de ellas: • En el comunicado de la parte reclamada de 1 de diciembre de 2022 al Comité de Empresa informando sobre la intención de MAXAMCORP de implementar un nuevo sistema de registro de jornada, sin especificar que el sistema de registro utilizará biometría. Indica que la información relativa al registro diario de la jornada será conservada por la empresa durante un plazo de 4 años. • En el acta de reunión de la dirección de la empresa con el Comité de Empresa, informando que el sistema funcionaría principalmente a través de la huella dactilar y de manera secundaria a través de la tarjeta de empleado. Fecha 13 de diciembre de 2022: • En el “acuerdo de registro de jornada” de fecha 29 de marzo de 2023.entre la representación sindical y empresarial, en el que se establece el reglamento para la puesta en marcha del registro de jornada. No se especifica que el sistema de registro utilizará biometría. • En el Comunicado del Comité de Empresa de 10 de mayo de 2023, se transmite a la dirección la disconformidad de la plantilla de la empresa con el empleo de la huella dactilar. Consideran que existe un tratamiento de datos biométricos que no se ajusta a la normativa en materia de datos personales. • En el acta de reunión de 19 de mayo de 2023 con el Comité de Empresa en la que la empresa aclara que no existe propiamente tratamiento de datos biométricos: “el sistema de fichajes no utiliza de ningún modo datos biométricos de carácter personal. Simplemente, el terminal del fichaje visualiza distintas partes de la huella dactilar, que no toda, para luego posteriormente encriptarla y convertir esa información en datos no personales, en concreto los trasforma en un código numérico. Por tanto, el terminal de fichaje no visualiza toda la huella dactilar ni tampoco almacena datos personales.” La dirección de la empresa indica que el uso de tarjetas puede ser un riesgo por la posible interferencia de las bandas magnéticas en la producción de explosivos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 9/73 • En la respuesta de 23 de mayo de 2023 de la Dirección de la empresa a la comunicación de 10 de mayo de 2023 realizada por la representación sindical en la que, entre otros aspectos se señala: “(…) en primer lugar nos gustaría aclarar que el contenido de la carta que nos han entregado parte de una premisa que es errónea. (…) resulta fundamental (…) recalcar que el nuevo sistema de registro de jornada no registra ni almacena ningún dato personal. Es decir, no existe ningún registro de dato biométrico, ni, por tanto, tratamiento de datos. El empleado, al poner el dedo en el terminal, se produce una lectura parcial de la huella, Por lo que no se visualiza la huella dactilar al completo, sino solamente distintas partes separadas de la misma. A continuación, se encripta dicha lectura, convirtiéndola en un código numérico, sin asociarse lo que se ha tomado con su titular, evitando: (i) el tratamiento de datos, (ii) identificación del interesad con su huella y (iii) utilización de un medio intrusivo en la privacidad del interesado. (…)” • En el informe técnico elaborado por el departamento de seguridad y de prevención de riesgos laborales de MAXAMCORP. Fecha 1 de junio de 2023 se señala: “La actual utilización de tarjetas adolece de algunas dificultades, tales como presencia de tarjetas magnéticas en zonas de trabajo con posible presencia de materiales especialmente sensibles, como explosivos iniciadores, así como el uso habitual de cinta en el cuello, que puede entrañar un riesgo de atrapamiento en zonas con equipos en movimiento. “ Como conclusión, el informe indica, entre otras: “la tecnología basada en huella dactilar contribuye a eliminar otros riesgos que el uso de tarjetas electromagnéticas comporta en nuestro ámbito de actividad. Especialmente, los riesgos que pudiera generar en las áreas de fabricación de sistemas de iniciación, explosivos iniciadores y materiales energéticos especialmente sensibles.” • En la comunicación a los trabajadores por correo electrónico de 2 de junio de 2023 por el que se informa de la implantación del sistema a partir del 7 de junio. La empresa señala que aporta el “Comunicado a los trabajadores por mail y a través de los tablones de anuncios de la fábrica que el 7 de junio tendría lugar el inicio del registro de la jornada.” Pero no se adjunta el correo electrónico dirigido a todos los trabajadores ni una fotografía que acredite la publicación en los tablones de la fábrica. Se aporta únicamente un documento denominado “Registro de jornada centro trabajo Páramo de Masa” de 19 de abril de 2023, en el que se especifican las instrucciones a seguir para el fichaje y las jornadas de trabajo, horas extraordinarias, los responsables de la revisión de los fichajes, tiempo de conservación (4 años). En este documento -que la empresa indica que comunicó a los trabajadores sin acreditar la puesta a disposición del mismo a éstos- se incluye un apartado específico para Protección de datos biométricos, señalándose que: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 10/73 “El tratamiento de los datos se estructura en 3 fases o momentos; a saber:
(1)La captación de datos a través de los correspondientes dispositivos de hardware específicos instalados en los centros de trabajo de la empresa responsable de tratamiento;
(2)La conversión del dato personal capturado en un dato no personal, mediante un software específico que utiliza un algoritmo de encriptación de punta a punta.
(3)El almacenamiento del mencionado dato (no personal) y su transformación en información y datos (ya asociable a trabajadores concretos) disponible para la empresa responsable y, en su caso, para los demás personas y entidades que conforman y pueden tener derecho a acceder al mismo.[…] La fase de conversión del dato captado en parámetros no personales se lleva a cabo mediante el oportuno software, el cual se basa en un algoritmo de encriptación de “punta a punta”, que permite que en realidad no viajen los datos personales sino los mencionados algoritmos, lo que proporciona el nivel de seguridad deseado en todo el proceso de tratamiento.[…] El código cifrado del patrón biométrico es almacenado en la base de datos del ***PROGRAMA.
  1. Este patrón será usado a través del algoritmo propio del sistema para validar la huella dactilar leída por el terminal. Los datos personales serán almacenados como datos no personales por el tiempo necesario para los fines de su tratamiento y, como máximo, durante 4 años.” CUARTO: Actuaciones previas de investigación La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos en cuestión, en virtud de las funciones asignadas a las autoridades de control en el artículo 57.1 y de los poderes otorgados en el artículo 58.1 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), y de conformidad con lo establecido en el Título VII, Capítulo I, Sección segunda, de la LOPDGDD. En el marco de las actuaciones previas de investigación, se ha tenido conocimiento de los siguientes hechos: -Con fecha 13 de diciembre de 2023 se realiza un requerimiento de investigación a la parte reclamada, solicitándole, entre otros puntos, información sobre las actividades que involucran el tratamiento de datos biométricos, descripción del sistema y copia de los contratos de encargo de tratamiento. MAXAMCORP responde a este requerimiento de información con fecha de registro 16 de enero de 2024, proporcionando la siguiente documentación anexa a su escrito de respuesta: • Registro del Tratamiento de Datos • Imagen de Arquitectura del sistema • Especificaciones de los dispositivos ***EMPRESA.3 ((...)) Es idéntico al anexo del documento aportado durante las actuaciones de traslado. Descripción Técnica de Solución ***PROGRAMA.
  2. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 11/73 • Contrato y certificaciones • Comunicación al comité de empresa de 8 de enero de 2024, de que con fecha de 12 de enero se implantará un nuevo sistema de fichaje que sustituya al de la huella dactilar. Analizada la información aportada, se subraya lo siguiente:
  3. Respecto al Registro de Actividades de Tratamiento e informe del DPD. La parte reclamada proporciona un RAT como información sobre la actividad de tratamiento denominada Control de horario, en la que especifica: “Base de legitimación: RGPD: art. 6.c.) Cumplimiento de una obligación legal; RDL 8/2019, de medidas urgentes de protección social y de lucha contra la precariedad laboral en la jornada de trabajo. Finalidad del tratamiento: Control empresarial a fin de garantizar el cumplimiento de la jornada laboral y la presencia en el puesto de trabajo, así como e documentar, en su caso, las horas extraordinarias del rabajador. (…) Interesados: Empleados de MAXAMCORP adscritos a los Centros de Trabajo donde esté implementado este servicio. Período de conservación de datos: Se conservarán durante el tiempo necesario para cumplir con la finalidad para la que se recabaron y para determinar las posibles responsabilidades que se pudieran derivar de dicha finalidad y del tratamiento de los datos. Máximo 4 años Medidas de seguridad:
  4. Limitación en el acceso a datos.
  5. Autenticación con el (...).
  6. Segregación de funciones mediante perfiles de acceso.
  7. Copias de seguridad del sistema según las políticas de Backup & Restore.
  8. Cifrado de datos en (...).
  9. Cláusulas informativas para el tratamiento de datos. Categoría de datos: Identificativos (…) Transferencia internacional de datos: No se realizan transferencias internacionales Origen de los datos: del propio interesado” C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 12/73
  10. Respecto al sistema de control de asistencia anterior a la implantación del sistema a través de huella dactilar. Consultada sobre si existía un sistema de control de asistencia anterior a la implantación del sistema a través de huella dactilar, la parte reclamada indica que “no existía sistema de control horario, solo un control de acceso vía tarjeta magnética, pero no un control de horario. Este control de acceso es el mismo que se usa para cualquier persona que visita el recinto fabril y que debe ser previamente identificada, más aun teniendo en cuenta que la actividad del centro de trabajo de Paramo de Masa es la fabricación de explosivos”.
  11. Respecto a las actividades que involucran el tratamiento de datos biométricos. Fechas: “La fecha de recogida de los datos fueron el 26 de abril y 5 de mayo de
  12. En cuanto a la implantación fue el 7 de junio de
  13. En cuanto a la fecha de finalización, tal y como se indica en el punto III del presente escrito, esta parte quiere informarles que atendiendo a la reciente Guía sobre Tratamientos de Control de Presencia Mediante Sistemas Biométricos de la Agencia Española de Protección de Datos, y las recomendaciones que en ella se establecen por el organismo al que tengo el honor de dirigirme, esta compañía ha decidido, sin perjuicio de que el sistema implantado hasta este momento quedaba amparado por la normativa de aplicación, proceder a la implantación (desde el 8 de enero de 2024) de un nuevo sistema de control horario, en el que cada empleado introduce un código numérico.” Finalidad y base de la legitimación: “la finalidad y la base de la legitimación es garantizar el cumplimiento de la jornada laboral y la presencia en el puesto de trabajo, así como documentar, en su caso, las horas extraordinarias del trabajador, control de presencia de los trabajadores, control horario de los trabajadores, gestión permisos y ausencias.” Juicios de proporcionalidad: La parte reclamada remite a la EIPD presentada en contestación a las actuaciones de traslado y manifiesta que: “(…) son muchos los sistemas de registro de jornada que pueden utilizarse en la práctica. Entre ellos destacan por la frecuencia de su uso, el sistema de registro en papel, mediante tarjeta o pin, mediante registros biométricos como la huella o el reconocimiento facial, mediante dispositivos digitales o por sistemas de geolocalización. Cada uno de los mencionados sistemas tiene obviamente sus ventajas e inconvenientes, tanto para la empresa como el trabajador, y fueron, todos ellos, analizados uno a uno: a) El sistema de registro en papel presenta las ventajas de su indudable facilidad, sencillez, coste reducido y escaso impacto en materia de Protección de Datos. Sin embargo, la facilidad con la que los datos recopilados pueden ser objeto de manipulación y alteración, su inhabilidad para trabajadores que prestan los servicios fuera del centro de trabajo, las altas posibilidades de pérdida o destrucción y la carga administrativa que conlleva su realización y seguimiento, lo hacen un sistema poco recomendable y de hecho su uso queda restringido a C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 13/73 aquellas pequeñas y medianas empresas que no gozan de los recursos suficientes para poner en práctica un sistema más ágil, sofisticado y eficiente, o en situaciones excepcionales. b) El sistema de registro mediante tarjeta o pin conlleva los beneficios de su indudable sencillez, comodidad y agilidad, pero por contra se puede prestar a fraudes, a modo de ejemplo, mediante el uso de las tarjetas por quienes no son los legítimos titulares, también se pueden dar frecuentes incidencias asociadas al olvido o extravío de la tarjeta. Por tanto, se considera que, no es el mejor de los sistemas para garantizar la identidad y autenticidad de la persona que pasa en el control y, sobre todo, teniendo en cuenta el tipo de instalación a la que se accede, una fábrica de explosivos. Desde el punto de vista de su impacto en Protección de Datos ofrece una problemática inferior al de otros sistemas automatizados de captación de datos. El sumatorio de ventajas e inconvenientes lo convierte a nuestro juicio como un sistema válido como alternativa a los otros sistemas, pero no como el sistema óptimo, garantista y primario que haya de utilizarse por la compañía dentro de su sistema de registro diario de jornada. c) La utilización del teléfono móvil presenta ventajas e inconvenientes similares a los señalados para el sistema de tarjeta, pero acarrea un impacto en protección de datos significativamente superior al de las tarjetas, entre otras razones por aspectos relativos a posibles prácticas de geolocalización. Es principalmente por este motivo por el que la empresa tiene muy controlado y limitado el uso de este sistema a aquellos casos en el que el control de accesos debe de llevarse a cabo por el trabajador fuera de su centro habitual de trabajo. d) Por último, el sistema elegido de forma primaria por la empresa, consistente en la lectura de fragmentos de huella dactilar, posteriormente convertidos en código encriptado de punta a punta, es, a nuestro entender, el que presenta un mayor catálogo de ventajas y garantías (facilidad de empleo, agilidad, garantía de autenticidad y dificultades de prácticas fraudulentas, evita problemas de pérdida robo o extravío), siendo el menos intrusivo y el más idóneo y proporcional, dado que no implica tratamiento de datos personales biométricos. Añadiendo a lo anterior, queda fuera de toda duda la idoneidad del sistema en cualquiera de las 3 últimas modalidades de recolección de datos citadas: lectura parcial de huella dactilar y encriptación posterior, tarjeta o teléfono móvil; ya que cualquiera de ellas posibilita el registro de la información de jornada de una forma adecuada y garantista de los derechos de los trabajadores, permite cumplir de forma idónea con las obligaciones legales del registro de jornada, y, no menos importante, teniendo en cuenta las características de la actividad de la empresa, fabricación de explosivos, permite poder ubicar a los trabajadores de la forma más eficiente posible en caso de accidente. La práctica existente en multitud de empresas españolas tras la entrada en vigor de la obligación de registro de jornada avala igualmente la idoneidad de cualquiera de las 3 opciones, al utilizar muchas de ellas alguno de estos tres sistemas o una combinación entre algunos de o todos ellos.” Sobre el levantamiento de la prohibición general de tratamiento de categorías especiales de datos personales: “al recogerse partes de la huella C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 14/73 dactilar, no su totalidad, no hay tratamiento de categorías especiales de datos personales” - Plazos de conservación: “El plazo fijado es cuatro
(4)años.” Entidades intervinientes: “La entidad que interviene como encargada del tratamiento es ***EMPRESA.1 con la que se tiene un contrato de tratamiento de datos (como de prestación de servicios) que quedará unido al presente escrito conforme al contenido de la consulta no 7. A su vez, como subencargado del mismo, interviene la empresa ***EMPRESA.2. Los datos personales a los que tiene acceso el subencargado del tratamiento, son nombre, apellidos, email, nombre e identificador de usuario del sistema y patrón biométrico. (…) El acceso por parte del subencargado del tratamiento solo se permite bajo petición individualizada por parte del responsable de esta actividad (control horario), por medio de una comunicación cifrada y protegida con doble factor de autenticación y guardando trazabilidad de dicho acceso.” 4. Descripción del sistema - Proceso de registro y volumen del tratamiento: “El proceso de registro se realiza a través de los propios terminales, donde el empleado debe registrar 3 veces las partes de su huella (no su totalidad) para que así el sistema pueda establecer el patrón y cifrarlo. En el centro de trabajo de Páramo de Masa, objeto de la reclamación efectuada, se ha efectuado el registro a 137 empleados.” - Proceso de comparación de los datos captados con los datos registrados: “El proceso de comparación es el siguiente: .- Se lee la huella del usuario desde un terminal de fichaje y se codifican una serie limitada de puntos específicos según algoritmo propietario y confidencial del fabricante de los (…) bajo un sistema de cifrado (...), construyendo así un patrón biométrico único. De esta forma, se garantiza la imposibilidad de revertir el proceso a partir de dicho patrón biométrico. . - Este patrón se almacena en la Base de Datos de la aplicación junto con el ID del empleado. Cuando el empleado utiliza de nuevo el terminal de fichaje se realiza el mismo proceso, comparando el patrón generado en ese momento con el patrón que está registrado en la Base de Datos. Si son idénticos, se consideraría válida la lectura.” - Confirmación del almacenamiento de un patrón biométrico para cada empleado La parte reclamada confirma el almacenamiento, en la base de datos de la aplicación, de un patrón biométrico para cada empleado, tal como se interpreta del punto 3, Descripción Técnica, del documento ***PROGRAMA.1, que indica: "El patrón biométrico se guarda en la base de datos de la aplicación y en un fichero privado que usa la Librería del Lector de Huellas. Cuando se lee el dato biométrico se llama a una función de la interfaz del reloj y se determina el Empleado en base al Patrón, no realizándose ninguna comparación de huella." C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 15/73 “Es correcto, el patrón biométrico se almacena en la base de datos de la aplicación y en un fichero privado del lector de huellas.” La parte reclamada indica que no se realiza ninguna comparación de huella. No obstante, el punto anterior se ha explicado que el patrón biométrico almacenado en la Base de Datos se compara con el patrón generado en el momento en el terminal de fichaje. - Listado de ubicaciones de los lectores de captación de datos biométricos. La parte reclamada incluye en su respuesta al requerimiento de información realizado durante las actuaciones previas de investigación un listado con las ubicaciones (unidades de producción dentro del propio centro de trabajo) en las que se implantó el sistema en el centro de trabajo de Páramo de Masa (Burgos). - Alternativas a la identificación a través del sistema biométrico. “En el centro de trabajo que MAXAMCORP tiene en Paramo se implantó el sistema de control horario a través de la huella. Por su parte, los técnicos y directivos, así como persona de oficina tienen además alternativas como el portal web y la app móvil.” - Medidas de seguridad aplicadas a cada elemento del sistema La parte reclamada indica las principales medidas de seguridad aplicadas: - Minimización de datos almacenados: únicamente se almacenan los datos necesarios que garantizan la correcta funcionalidad del sistema. - Limitación en el acceso a datos: acceso cifrado a la aplicación vía proxy con políticas de Zero Trust (ZTNA) por usuarios autorizados. Autenticación con (...) y (…) (…) Cifrado de datos. - Segregación de funciones mediante perfiles de acceso. - Copias de seguridad del sistema según las políticas de Backup & Restore. - Cláusulas informativas y base legitimadora para el tratamiento de datos. - Identificación de todos los lugares en los que se almacenan los patrones biométricos: “Los patrones biométricos se almacenan en la base de datos de la aplicación. En los terminales de fichaje se guarda asimismo el patrón biométrico, pero únicamente de aquellos empleados que pueden registrar su jornada en ese terminal.” 5-. Respecto al nuevo sistema de fichaje La parte reclamada proporciona un documento de fecha 8 de enero de 2024 en el que se comunica al Comité de Empresa de MAXAMCORP la implantación de un nuevo sistema de fichaje a partir del 12 de enero de 2024 en sustitución al sistema basado en biometría: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 16/73 “Por la presente les comunicamos que a partir del día 12 de enero se establecerá un nuevo método para registrar la jornada mediante código numérico de forma transitoria. Debido a las actuales reclamaciones planteadas por la RLPT de MAXAMCORP, ante las Agencias de protección de datos y ante las nuevas recomendaciones de la AEPD, se establecerá de forma transitoria este nuevo método hasta que finalicen los procedimientos iniciados antes dichos organismos y se aclare la viabilidad de la lectura de huella.” QUINTO: Volumen de negocio. De acuerdo con el informe recogido de la herramienta AXESOR, la entidad MAXAMCORP INTERNATIONAL, S.L. es una filial de grupo, calificada de gran empresa, constituida en el año 2007, cuya actividad es la fabricación de explosivos, y con un volumen de negocios de 328.539.000 euros en el año 2024. SEXTO: ***PROGRAMA.1 Con fecha de 23 de enero de 2025 se comprueba por parte de esta Agencia el contenido extraído del sitio web del desarrollador de la plataforma/software de ***PROGRAMA.1.com, utilizado para el control de cumplimiento de horario y registro de jornada por MAXAMCORP, denominado “***PROGRAMA.1”, donde se captura la siguiente información: - ANEXO I. Sobre la descripción del software y sus funcionalidades. o Captura de pantalla de la página de inicio ***PROGRAMA.1.com. Donde se indica que es una plataforma inteligente para la gestión y optimización de todo tipo de servicios en movilidad (Field Services). En la página principal se detallan 4 tipos de servicios: gestión de tareas, registro de horario y fichajes, checklist y formularios, y control de accesos. o Captura pantalla de la funcionalidad referida al “Software para el registro horario y fichajes – ***PROGRAMA.1”, donde se hace constar que existen diversos métodos de fichaje que pueden ser contratados por el empleador. SÉPTIMO: Acuerdo de inicio de procedimiento sancionador. Con fecha 11 de marzo de 2025, la Presidencia de la Agencia Española de Protección de Datos acordó iniciar procedimiento sancionador a MAXAMCORP, con arreglo a lo dispuesto en los artículos 63 y 64 de la LPACAP, por las presuntas infracciones de los artículos 9.1 y 35 del RGPD, tipificadas respectivamente en los artículos 83.5
  1. a)y 83.4
  2. a)del citado RGPD. El acuerdo de inicio se notificó a la parte reclamada el 13 de marzo de 2025, conforme a las normas establecidas en la LPACAP, como consta en el acuse de recibo que obra en el expediente. OCTAVO: Ampliación de plazo y copia del expediente. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 17/73 Con fecha 14 de marzo de 2025, la parte reclamada solicitó una ampliación del plazo concedido para la presentación de alegaciones, conforme al artículo 32 de la LPACAP, que fue concedida el 17 del mismo. El 25 de marzo de 2025 se realizó por la parte reclamada solicitud de copia del expediente, así como nueva solicitud de ampliación de plazo. El 26 de marzo de 2025 se facilitó a la parte reclamada copia del expediente, siéndole denegada la segunda ampliación de plazo solicitada, conforme al artículo 32 de la LPACAP. NOVENO: Sobre la medida provisional. El 27 de marzo de 2025, MAXAMCORP remite escrito a la AEPD por el que informa, en relación con la medida provisional incluida en el acuerdo de inicio que el sistema de fichaje biométrico se suspendió el 12 de enero de 2024. Por otra parte, señala que “la app del dispositivo móvil utilizada para la finalidad descrita, ni se geolocaliza ni se ha geolocalizado en ningún momento del tratamiento realizado”. DÉCIMO: Alegaciones al acuerdo de inicio. El 3 de abril de 2025, la parte reclamada presentó escrito de alegaciones al acuerdo de inicio, en el que, en síntesis, en lo que interesa al presente procedimiento sancionador, ponía de manifiesto lo siguiente: 1. En relación con la imputación del artículo 9 del RGPD. - Aunque recogidas en diferentes alegaciones, la argumentación principal radica en que existen elementos que obligan a una valoración individualizada del cumplimiento de los requisitos del artículo 9 del RGPD, que exceden los propios de los recogidos en la legislación y relación laboral, vinculados a aspectos relativos a la actividad realizada por la entidad reclamada.  Sobre la especialidad y riesgo del sector de actividad de MAXAMCORP: insiste en que la empresa está dedicada a la fabricación de explosivos, lo que obliga a la adopción de determinadas decisiones administrativas concretas, teniendo en cuenta la necesidad de cumplir con la normativa específica del sector, en particular en materia de seguridad, medio ambiente y control de materiales peligrosos.  Características del centro de trabajo de Páramo de Masa: el centro se extiende sobre una superficie de 2.470 hectáreas, con 180 instalaciones diferenciadas dentro del centro de trabajo de Páramo de Masa. Así, el proceso de acceso a las instalaciones conlleva la lectura de una tarjeta de identificación, acceso a los vestuarios para colocación de la ropa de trabajo y los EPI preceptivos, debiendo dejarse cualquier objeto en los casilleros asignados. A este respecto señala: “está terminantemente prohibido la tenencia de cualquier objeto o dispositivo en los centros de manipulación de material explosivo (lo cual incluye la tarjeta de identificación o el dispositivo móvil). Se reitera que no se permite la tenencia de ningún objeto por motivos de seguridad. De ahí el empleado se desplaza al puesto de trabajo asignado, que se determina diariamente y que puede variar durante la jornada de trabajo”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 18/73 Señala que los desplazamientos internos en el centro de trabajo, que pueden ascender a 10 minutos en coche resultan relevantes y que la reclamación se origina por un error de concepto, puesto que se confunde un sistema de acceso con un sistema de fichaje de jornada (STS 3880/2019, Sala de lo social, 19 de noviembre, entre otras). Aclara que, con carácter previo al sistema biométrico, no existía más que el control de acceso físico a las instalaciones. Señala que debe tenerse en cuenta la normativa específica aplicable a la empresa en atención a la materia que trata, en materia de prevención de riesgos, seguridad industrial y protección de la salud, entre otros el Real Decreto 130/2017, de 24 de febrero, por el que se aprueba el Reglamento de Explosivos; Real Decreto 840/2015, de 21 de septiembre, que transpone la Directiva SEVESO III; la Instrucción técnica complementaria ITC 14 del Reglamento de explosivos. En relación con el sistema de registro: La particularidad del centro como consecuencia de su actividad, como muestra la necesidad de la dotación de una delegación permanente de la Guardia Civil, obliga a asegurar de manera fehaciente que el trabajador se encuentra en su puesto de trabajo y que es él y no otra persona. Recalca, de nuevo, que el sistema de fichaje no puede depender de objetos o dispositivos por cuanto estos están terminantemente prohibidos por motivos de seguridad y prevención de riesgos laborales, en particular tarjetas electromagnéticas, de acuerdo con lo previsto en el Real Decreto 614/2001, de 8 de junio, lo que no ocurre, por ejemplo, en el caso del control de acceso, que sí funciona a través de un sistema con tarjeta. Señala que las obligaciones contenidas en la legislación laboral sobre fichaje, unidas a las especificaciones de su normativa específica, permitirían cumplir lo previsto en el artículo 9 del RGPD. Hace referencia, en particular a los artículos 53 y 54 del Reglamento de Explosivos. Asimismo, señala que la experiencia en accidentes relacionados con explosiones ha demostrado la dificultad de gestionar de manera ágil las emergencias en lo que respecta a la identificación rápida de personal afectado (ej: Toulouse 2011, Puertollano 2003, Leverkusen 2021), como exige el Real Decreto 840/2015, de 21 de septiembre, que transpone la Directiva SEVESO III. Para sustentar su afirmación del peligro de las tarjetas magnéticas en zonas con explosivos, aporta la documentación que se referirá más adelante. - Sostiene que no se trata de una infracción continuada y no puede apreciarse la existencia de una relación de desequilibrio entre empresario y trabajador en la medida en que existió acuerdo del Comité de empresa. - Manifiesta que la AEPD debería tener en consideración que el tratamiento se llevó a cabo únicamente durante 7 meses y que, tras publicarse la Guía de la AEPD en noviembre de 2023 en la que se especificaban determinados aspectos relativos a los sistemas de fichaje, se procedió a la suspensión del sistema en enero de 2024. A este respecto subraya que solo se vieron afectados 137 empleados y que, debido a las dimensiones de la empresa y la medida que se trata, su rectificación lleva un tiempo determinado. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 19/73 2. En relación con la imputación del artículo 35 del RGPD. - Señala que la EIPD se llevó a cabo, lo que, a su juicio, resulta indiscutible. No obstante, considera que, dado que la materia de protección de datos descansa en gran medida “en las valoraciones que deben hacer los propios administrados por su propia cuenta e iniciativa”, no cabría imputar a posteriori por la AEPD disparidad de criterios. - Considera que los incumplimientos achacados en el acuerdo de inicio parten de un error de partida que es no haber realizado una EIPD para un tratamiento de datos personales, sino para cumplir con la finalidad pretendida. Por tanto, no deberían serle imputados y bastaría con la imputación de la primera incorrección. - En relación con la ausencia de un adecuado juicio de proporcionalidad, señala que es fruto del error de partida, y que, en cualquier caso, debe tenerse en cuenta la especial situación de la organización teniendo en cuenta su objeto y materias que trata. Así, insiste en la necesidad de asegurar la seguridad, la enorme superficie y la necesidad de tener localizados a los empleados que manipulan elementos peligrosos y la prohibición de tenencia de cualquier objeto distinto a la ropa de trabajo. No obstante, reconoce que, es cierto que, desde el punto de vista formal, la EIPD no aporta mayores justificaciones sobre los motivos por los que las tarjetas magnéticas no son un método de control adecuado, pero que no puede obviarse, no obstante, lo señalado desde las actuaciones de traslado: las tarjetas magnéticas pueden llegar a causar explosiones. - Indica que en el acuerdo de inicio se hace mención de que la infracción sería continuada, cuando, sostiene, en tal caso, que sería de aplicación lo previsto en el artículo 29.6 de la LRJSP. - Manifiesta que, si bien el acuerdo no considera la conducta dolosa, sino culpable, califica la culpa como grave. 3. Solicitud de un apercibimiento en lugar de un procedimiento sancionador, en caso de que no se proceda al archivo del procedimiento sancionador, o, en su defecto, la minoración de la cuantía de la sanción, teniendo en cuenta que el sistema únicamente estuvo operativo 7 meses y un día para un total de 137 trabajadores. 4. Solicitud de práctica de prueba. Solicita que se lleve a cabo la práctica de la prueba para admitir la documentación adjunta a su escrito de alegaciones. Junto a su escrito de alegaciones presenta la siguiente documentación: - Documento 1: Dangerous good classes and hazard labels Civil Aviations Safety Authority Documento 2: L’explosion d’Atex sur le lieu du travail. Documento 3: ATF- safety and Security information for Federal Explosives Licensees and Permittees. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 20/73 DÉCIMOPRIMERO: Acuerdo de sustitución de instructor. Con fecha 23 de noviembre de 2025 se comunica a MAXAMCORP el nombramiento de instructor del procedimiento en sustitución del originariamente designado. DÉCIMOSEGUNDO: Propuesta de resolución Con fecha 26 de enero de 2026, se emitió por el instructor propuesta de resolución, por la que se proponía a la Presidencia de la AEPD la sanción a MAXAMCORP por las infracciones de los artículos 9 y 35 del RGPD con sendas multas, así como la adopción de otras medidas correctivas. Por otra parte, se proponía el levantamiento de las medidas provisionales recogidas en el acuerdo de inicio conforme al artículo 69 de la LOPDGDD. La mencionada propuesta fue notificada el 26 de enero de 2026. DECIMOTERCERO: Alegaciones a la propuesta de resolución. Notificada la propuesta de resolución, con fecha 9 de febrero de 2026, la parte reclamada efectúa, en síntesis, las siguientes alegaciones:
  3. a)En relación con la infracción del artículo 9 del RGPD: 1. En relación con la contestación a las alegaciones al acuerdo de inicio, señala que no cabe, como se indica en la propuesta de resolución “estimar parcialmente” la alegación relativa a que han de tenerse en cuenta las circunstancias específicas de las funciones que realiza la fábrica. Sostiene que esta alegación únicamente podrá estimarse plenamente por cuanto “El análisis de proporcionalidad del artículo 9 del RGPD es un elemento estructural del juicio de licitud, no un criterio accesorio de graduación, lo que implica que, si la administración sancionadora admite que existen circunstancias relevantes que condicionan las alternativas disponibles y el impacto del tratamiento, estas deben integrarse en el juicio de necesidad e idoneidad, no relegarse a la fase sancionadora.” Mezcla argumentos sobre el artículo 35 del RGPD, señalando que la propuesta reconoce que la valoración de la empresa fue inexacta pero no inexistente ni arbitraria, siendo que la inexactitud no permite afirmar que existe negligencia grave y encajaría en supuestos del artículo 58.2 del RGPD que prevé medidas correctivas o apercibimientos, no sanción. Considera que lo único imputable a la parte reclamada sería un “error de exactitud” en sus conclusiones. Por otra parte, señala que en la contestación a las alegaciones al acuerdo de inicio se hace referencia a que la normativa alegada no tiene rango de ley ni entidad suficiente para entenderse incluida dentro de las previsiones del artículo 9.2.
  4. b)del RGPD pero que “la normativa reguladora de la actividad profesional que desarrolla esta administrada exige una interpretación integradora y conjunta”. Sin olvidar, además, que la jurisprudencia constitucional asimila al concepto de legislación a los reglamentos jurídicos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 21/73 Considera, en consecuencia, que se produce un defecto de falta de motivación que puede generar indefensión material vulnerando el artículo 24.1 de la Constitución española. 2. Sostiene que, en la medida en que en el acuerdo de inicio se calificó la conducta como “continuada” no cabe que en la propuesta se modifique la consideración a “permanente” puesto que su “marco de contradicción y defensa quedó fijado desde el inicio en torno a una infracción continuada”. Asegura, además, que esta modificación no ha sido motivada, le genera indefensión por cuanto ha sido utilizada para valorar la gravedad de la infracción. Concluye, en consecuencia, que no cabe que la infracción sea considerada ni continuada ni permanente. 3. Insiste en que no cabe apreciar la existencia de una relación de desequilibrio en las relaciones entre empresario y trabajador por cuanto en su caso el Comité de Empresa estaba al corriente de sus actuaciones desde el inicio.
  5. b)En relación con la infracción del artículo 35 del RGPD: 4. Reitera que, en la medida en que se considera que la EIPD existía, no cabe que la apreciación de una infracción se sostenga en “resultados de esa actividad valorativa”. En consecuencia, asegura que la existencia de determinadas carencias no puede conducir a su calificación como un incumplimiento sancionable en los términos y con la gravedad que se propone. Señala, en resumen, que se ha incumplido el principio de culpabilidad y que no se explica la razón por la que esas insuficiencias revelarían una conducta imputable a título de negligencia grave ni la cuantía propuesta, en lugar de tener en cuenta la existencia de una EIPD previa 5. Reitera la misma argumentación sobre el carácter permanente de la infracción que sostiene para la infracción del artículo 9 RGPD. 6. Argumenta una falta de proporcionalidad en la imposición de la sanción, concurre en su caso “culpa subjetiva genérica en su modalidad de impericia” y que, por tanto, la sanción debe adaptarse a la inexistencia de intencionalidad. 7. Insiste en que no se tiene en cuenta que se está ante una unidad de conducta, “hecha la evaluación, no se le puede reprochar a la administración que acomode su conducta al resultado de esa evaluación “”no podía hacer otra cosa”. De haberse comportado con omisión y desprecio del resultado de la evaluación practicada, supondría la cierta demostración de que aquella fue fraudulenta o simulada. Entraría en juego la aplicación del artículo 29.5 de la LRJSP 40/2015, debiendo eliminarse una de las sanciones propuestas. 8. Considera que no se han tenido en cuenta las alegaciones realizadas por MAXAMCORP respecto a la idoneidad, necesidad y proporcionalidad del uso de la biometría en sus instalaciones, teniendo en cuenta las particulares circunstancias de seguridad requeridas, y que el procedimiento se centra en “la información obrante en la EIPD, sin realizar una ponderación material suficiente de las circunstancias específicas del tratamiento (…) no atendiendo a que la EIPD puede tener errores en su redacción que no constituyan un defecto en el tratamiento de datos personales de facto, ni puede equipararse sin más una eventual insuficiencia documental a la inexistencia real de necesidad y proporcionalidad”. Por ello, vuelve a reproducir las razones por las que considera que el tratamiento es idóneo, necesario y proporcional C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 22/73 puesto que el sistema de fichaje que instale en su centro debe permitir la identificación inequívoca, no dependiente de dispositivos ni elementos físicos. Concluye que el único sistema que cumple estos requisitos sería un sistema (1:N). Manifiesta, además que en el ***REFERENCIA.1, la AEPD dictó una resolución de archivo por el uso de datos biométricos en el entorno laboral, y consideró que la medida estaba justificada y era proporcional porque entre otras cosas, el sistema se aplicaba solo en zonas concretas, concurrían exigencias sanitarias y de seguridad que avalaban su implantación y no existían alternativas equivalentes menos intrusivas, que es lo que sucede en este caso, considerando que igualmente estaría justificado y es proporcional. Por todo ello, solicita el archivo del procedimiento sancionador y, en su defecto, la minoración de la cuantía de las sanciones previstas en la propuesta de resolución. HECHOS PROBADOS PRIMERO: La entidad MAXAMCORPINTERNATIONAL, S.L. de acuerdo con la información que consta en la herramienta Axexor, es una empresa filial de grupo, calificada de gran empresa, constituida en el año 2007, cuya actividad es la fabricación de explosivos, y con un volumen de negocios de (...) euros en el año 2023. Cuenta con un centro de trabajo en Páramo de Masa (Burgos) con 2.470 hectáreas y distintas zonas y edificios al que acceden sus empleados como medio de control de acceso identificativo al recinto por motivos de seguridad con tarjetas magnéticas. SEGUNDO: El 1 de diciembre de 2022 MAXAMCORP remitió un escrito informativo al Comité de empresa de la compañía sobre su intención de “implantar un nuevo sistema de registro de jornada que afectará a los empleados del centro de trabajo situado en Páramo de Masa”. TERCERO: El 29 de marzo de 2023, el Comité de empresa firmó con la empresa MAXAMCORP un “Acuerdo de registro de jornada”, en el que no se especifica el sistema o sistemas de fichaje concretos a implementar. CUARTO: La Instrucción de Recursos Humanos de Registro de Jornada Centro de Trabajo Páramo de Masa de 19 de abril de 2023 con objetivo “asegurar que todos los empleados se familiaricen con el funcionamiento del nuevo procedimiento de registro de jornada” incluye un apartado denominado “Protección de datos biométricos” que indica: “***PROGRAMA.1 es un software para el registro de jornada que puede registrar datos biométricos para el correcto fichaje de los trabajadores. El único dato biométrico leído por el terminal de fichaje son partes de la huella dactilar de los usuarios (…)”. QUINTO: El 10 de mayo de 2023 MAXAMCORP recibió un comunicado del Comité de Empresa en el que se manifiestan “reparos respecto al tratamiento y uso de datos biométricos (huella dactilar)”. SEXTO: El 7 de junio de 2023 se implementó por parte de MAXAMCORP el sistema biométrico de fichaje mediante huella dactilar de ***PROGRAMA.1 para el registro de la C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 23/73 jornada laboral del centro de trabajo de Páramo de Masa, a cuyo efecto se realizó la recogida de la huella dactilar de sus 137 empleados entre el 26 de abril y el 5 mayo de 2023. SÉPTIMO: De acuerdo con la información proporcionada a los representantes de los trabajadores por la reclamada ( fecha 1/12/2022), así como en el acuerdo con estos de 29/03/2023, con lo contenido en la EIPD, y lo manifestado por la reclamada el 7/09/2023 en su respuesta al traslado de la reclamación, la base jurídica del tratamiento del registro de la jornada laboral diaria está en el cumplimiento de una obligación legal establecida en el Real Decreto Ley 8/2019 de 8/03 que incorpora el artículo 34.9 al Estatuto de los Trabajadores. La reclamada aporta en respuesta en actuaciones previas, el 16/01/2024, copia del RAT “control de horario” en el que se indica - “Base de legitimación: RGPD: art. 6.c.) Cumplimiento de una obligación legal; RDL 8/2019, de medidas urgentes de protección social y de lucha contra la precariedad laboral en la jornada de trabajo. -Finalidad del tratamiento: Control empresarial a fin de garantizar el cumplimiento de la jornada laboral y la presencia en el puesto de trabajo, así como e documentar, en su caso, las horas extraordinarias del trabajador. -Categoría de datos: Identificativos.”, sin mención alguna al tratamiento de datos biométricos de la huella dactilar. OCTAVO: El funcionamiento del sistema biométrico de fichaje mediante huella dactilar consiste en:
  6. i)lectura de fragmentos de la huella dactilar de los trabajadores a través de dispositivos para la creación de un patrón biométrico (
  7. ii)cifrado del patrón biométrico (...) (iii) almacenamiento del patrón biométrico en la base de datos de la aplicación junto con los datos identificativos del empleado, así como en un fichero privado del lector de huellas (
  8. iv)cuando un trabajador ficha, si algún código o patrón es el mismo que el leído, se da por válida la lectura (sistema de identificación [1:N]). Las terminales de fichaje se encuentran ubicadas en cada unidad de producción. Así se desprende, entre otros, del escrito de MAXAMCORP de 16 de enero de 2024, “Descripción técnica de la solución ***PROGRAMA.1” de 1 de septiembre de 2023, la EIPD de MAXAMCORP de 1 de febrero de 2023. NOVENO: MAXAMCORP ha negado que el sistema de fichaje anteriormente descrito suponga un tratamiento de datos personales BIOMÉTRICOS, entre otros, en su comunicado al Comité de Empresa el 10 de mayo de 2023, y de 23 de mayo, en la reunión con el Comité de Empresa de 19 de mayo de 2023, en la Instrucción de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 24/73 Recursos Humanos de Registro de Jornada Centro de Trabajo Páramo de Masa de 19 de abril de 2023, así como en la EIPD de 1 de febrero de 2023. DÉCIMO: En el marco de las actuaciones previas de investigación, el 16 de enero de 2024, MAXAMCORP señala a esta Agencia que: “al recogerse partes de la huella dactilar, no su totalidad, no hay tratamiento de categorías especiales de datos personales”. UNDÉCIMO: MAXAMCORP realizó una EIPD el 1 de febrero de 2023 con título : "Registro diario de jornada MAXAMCORP" para la “verificación del registro diario de la jornada de los trabajadores de las plantillas de las compañías afectadas a los centros de trabajo, mediante la lectura parcial de la huella dactilar, o mediante la lectura de las correspondientes tarjetas electrónicas, ambas a través de dispositivos colocados en la entrada de los centros de trabajo o mediante dispositivos, ubicados en los teléfonos móviles utilizados por los propios trabajadores.” En la misma se indica que “el sistema o sistemas a implantar se decidirán dependiendo de las necesidades y características de cada centro de trabajo”. DÉCIMOSEGUNDO: La mencionada EIPD recoge que “al ser una lectura parcial de huella convertida en un algoritmo de encriptación de punta a punta, no implica tratamiento de datos personales”. DÉCIMOTERCERO: La EIPD no contiene una enumeración de los riesgos, ni de los derechos y libertades afectados, pero incluye 4 medidas adoptadas para su minimización: (
  9. i)elección de proveedores del servicio con solvencia y experiencia. (
  10. ii)uso de encriptado de punta a punto con un sistema de algoritmo (
  11. iv)almacenamiento en servidores propiedad del responsable ubicados en las propias oficinas y (
  12. v)eliminación de usos que conllevan elevado riesgo intrínseco, cesiones a terceros o transferencias internacionales de datos. DÉCIMOCUARTO: El 12 de enero de 2024, MAXAMCORP suspendió el funcionamiento del sistema de fichaje biométrico por huella dactilar que había estado utilizando para el control de la jornada laboral diaria, sustituyéndolo por un sistema de código, de acuerdo con el comunicado al Comité de empresa de 12 de enero de 2024. Dicha suspensión se produce, tras su respuesta al traslado, y al ser requerida en actuaciones previas de investigación el 13/12/2023 por otras cuestiones, comunicándolo en su respuesta de 16/01/2024. FUNDAMENTOS DE DERECHO I. Competencia De acuerdo con los poderes que el artículo 58.2 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, en adelante RGPD), otorga a cada autoridad de control y según lo establecido en los artículos 47, 48.1, 64.2 y 68.1 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPDGDD), es competente para resolver este procedimiento la Presidencia de la Agencia Española de Protección de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 25/73 Datos. Asimismo, el artículo 63.2 de la LOPDGDD determina que: "Los procedimientos tramitados por la Agencia Española de Protección de Datos se regirán por lo dispuesto en el Reglamento (UE) 2016/679, en la presente ley orgánica, por las disposiciones reglamentarias dictadas en su desarrollo y, en cuanto no las contradigan, con carácter subsidiario, por las normas generales sobre los procedimientos administrativos." II. Cuestiones previas 2.1 Datos personales objeto de tratamiento. El RGPD define el art.4.14 datos biométricos como una categoría de datos personales, señalando que son: “datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos”. (el subrayado es nuestro). Por su parte, el artículo 4.1 del RGPD, al definir los datos de carácter personal incide en esta misma finalidad de identificación única de la persona, señalando que ““1. Datos personales: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona”. 83 Así pues, de acuerdo con lo previsto en el RGPD, para poder determinar si estamos en presencia de datos biométricos de carácter personal, deben concurrir los siguientes requisitos que se deducen de la interpretación conjunta del artículo 4.14 (definición de datos biométricos) y el artículo 4.1 del RGPD (definición de datos personales): (
  13. i)La naturaleza de los datos: deben ser relativos a las características físicas, fisiológicas o conductuales de una persona física. Si el tratamiento requiere el registro previo de la imagen, huella dactilar, voz, iris,...etc.; tiene en cuenta comportamientos, o diferencias características como la raza, sexo…etc., cumple con esta característica inicial, aunque no las almacene y solo las emplee para generar el patrón biométrico. (
  14. i)La finalidad del tratamiento: los datos biométricos deben permitir o confirmar la identificación única de dicha persona. / No todos los datos biométricos sirven para la identificación de personas físicas. Pero los sistemas biométricos dirigidos a permitir o confirmar la identificación única de una persona si tratan datos biométricos de carácter personal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 26/73 Las tecnologías biométricas permiten utilizar dos grandes tipos de sistemas biométricos que se dirigen a identificar de manera única a las personas, según señaló el Dictamen 3/2012 sobre la evolución de las tecnologías biométricas de 27/04/2012 del Grupo de Trabajo del Artículo 29, -órgano consultivo independiente europeo en materia de protección de datos, precedente del actual Comité Europeo de Protección de Datos- (en adelante, Dictamen 3/2012): “-Identificación biométrica: la identificación de un individuo por un sistema biométrico es normalmente el proceso de comparar sus datos biométricos (adquiridos en el momento de la identificación) con una serie de plantillas biométricas almacenadas en una base de datos (es decir, un proceso de búsqueda de correspondencias uno-a-varios). (En adelante, 1:N) -Verificación/autenticación biométrica: la verificación de un individuo por un sistema biométrico es normalmente el proceso de comparación entre sus datos biométricos (adquiridos en el momento de la verificación) con una única plantilla biométrica almacenada en un dispositivo (es decir, un proceso de búsqueda de correspondencias uno-a-uno).”( En adelante, 1:1). (
  15. ii)Los medios y las formas de tratamiento: datos “obtenidos a partir de un tratamiento técnico específico”; que “permitan o confirmen la identificación única de dicha persona”. Ya desde el Dictamen WP80 del Grupo de Trabajo del Artículo 29 se señalaba que los sistemas biométricos son: «aplicaciones de las tecnologías biométricas que permiten la identificación automática, y/o la autenticación/comprobación de una persona. Se suelen utilizar aplicaciones de autenticación/comprobación para diversas tareas en campos muy distintos y bajo la responsabilidad de una amplia gama de entidades diferentes.» Y todo sistema biométrico dirigido a permitir o confirmar la identificación unívoca de las personas, para poder ser usado, ha de registrar antes la identidad del usuario en el sistema por medio de la captura de una serie de parámetros biométricos en bruto. Es preciso aclarar que la información biométrica de las personas (sobre las características físicas, fisiológicas o conductuales) puede procesarse y almacenarse de diferentes formas:
  16. a)A veces, la información biométrica capturada de una persona se almacena y se trata en bruto, lo que permite reconocer la fuente de la que procede sin conocimientos especiales; por ejemplo, la fotografía de una cara, la fotografía de una huella dactilar (muestra) o una grabación de voz. Estas serán un dato personal pero según el artículo 4.14 del RGPD no serán un dato biométrico de carácter C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 27/73 personal puesto que no se cumple con el requisito de que el dato biométrico en bruto haya sido procesado mediante un tratamiento técnico que permita su identificación por una máquina a través de un tratamiento automatizado.
  17. a)Otra opción es que esta información biométrica se manifieste en forma de plantilla biométrica o patrón biométrico (código alfanumérico). En estos casos, la información biométrica bruta capturada es tratada por un software de manera que solo se extraen de la misma ciertas características o rasgos (como fragmentos de la muestra de huella o puntos de la imagen de la imagen de la cara) y se salvan como una plantilla biométrica, llamado “vector” o “patrón biométrico” que permite la identificación de su titular de forma automatizada. Este sería el caso del sistema de control horario de la parte reclamada. Las Directrices sobre el uso de las tecnologías de reconocimiento facial dictadas por el Consejo de Europa el 28/04/2021 (Guidelines on Facial Recognition, Council of Europe), definen la plantilla biométrica como “una representación digital de las características únicas que se han extraído de una muestra biométrica y se almacenan en una base de datos biométrica”. Una plantilla biométrica o patrón biométrico es una forma de escritura de una característica biométrica humana, como un rostro o una huella dactilar, que se manifiesta en forma de código alfanumérico, de manera que sea interpretable por una máquina de forma eficiente y eficaz para un propósito o propósitos determinados. La plantilla biométrica no está orientada a ser interpretada por una persona, como una fotografía, sino que está orientada a ser tratada en un proceso automatizado, es decir, ser eficiente y eficazmente interpretable por una máquina. Esta forma de almacenamiento permitiría singularizar a un individuo y ejecutar acciones de forma automática, perfilar o inferir información sobre un sujeto como actitudes o patrones de comportamiento, etc. En otras palabras, la plantilla o patrón biométrico es la forma de medición de las características físicas, fisiológicas o conductuales de una persona física que son procesadas para asignar un código identificador único a cada individuo, de forma que éste pueda ser interpretado automáticamente al realizar cada lectura por el software y los dispositivos de hardware asociados a un sistema de verificación/identificación de la identidad biométrico, permitiendo la comparación de los datos y verificación de la identidad de forma automatizada. En consecuencia, siempre que se emplee un sistema biométrico que procese características físicas, fisiológicas o conductuales de las personas para convertirlas en un patrón o plantilla biométrica que pueda interpretar una máquina de forma automatizada para verificar la identidad de una persona de forma unívoca, no hay duda de que se estarán tratando datos biométricos de carácter personal que están sometidos a las obligaciones que el RGPD establece, siendo considerados de categoría especial por el artículo 9 del RGPD y requiriendo la previa elaboración y superación de una EIPD, como se analiza más adelante en los fundamentos de derecho de este acuerdo de inicio. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 28/73 Llegados este punto, conviene señalar que las Directrices 5/2022 del Comité Europeo de Protección de Datos (CEPD), sobre el uso de reconocimiento facial en el ámbito de las fuerzas de orden público (véase Versión 2.0, de 26 de abril de 2023), determinan, en su apartado 12, que el concepto de dato biométrico incluye tanto la autenticación como la identificación, y que, si bien son conceptos distintos, ambos implican el tratamiento de datos dirigidos a identificar a una persona física, como se ha señalado anteriormente, por lo que constituyen tratamientos de categorías especiales conforme al artículo 9 del RGPD. Por tanto, tanto la identificación (1:N) como la autenticación (1:1), cuando emplean datos biométricos para confirmar de forma unívoca la identidad de una persona, implica un tratamiento de “categorías especiales de datos personales” del artículo 9.1 RPGD. Ello implica la activación en general de las garantías especiales que una y otra norma confieren respecto del tratamiento de este tipo de datos especialmente protegidos. Ahora bien, sin perjuicio de que la autenticación y la identificación supongan un tratamiento de datos especialmente protegidos, el riesgo para los derechos del interesado será menor, en función de cómo estructure el responsable el tratamiento, y sobre todo de las medidas adecuadas y específicas que adopte. Así, la proyección concreta de estas garantías no necesariamente habrá de serlo con la misma intensidad. No puede obviarse que -aun en el ámbito de los datos especialmente protegidos- esta distinción entre autenticación e identificación sigue siendo un elemento relevante y distintivo del impacto y riego que se genera y debe protegerse. El mismo CEPD en el apartado 17 del referido informe recuerda respecto del reconocimiento facial que: “El reconocimiento facial basado en una plantilla almacenada en un dispositivo personal (tarjeta inteligente, teléfono inteligente, etc.) perteneciente a dicha persona, utilizada para la autenticación y el uso estrictamente personal a través de una interfaz específica, no plantea los mismos riesgos que, por ejemplo, el uso con fines de identificación, en un entorno no controlado, sin la participación activa de los interesados, en el que la plantilla de cada cara que entra en la zona de supervisión se compara con las plantillas de una amplia sección transversal de la población almacenada en una base de datos. Entre estos dos extremos existe un espectro muy variado de usos y cuestiones conexas relacionadas con la protección de los datos personales.” En consecuencia, la distinción entre identificación o autenticación y especialmente de los elementos concretos de estos tratamientos tanto por sus fines como especialmente por los medios son elementos esenciales para determinar la proporcionalidad del tratamiento, la necesidad de realizar una evaluación de impacto y la aplicabilidad de excepciones al tratamiento de datos biométricos, especialmente en ámbitos como el laboral, la seguridad pública o la prestación de servicios digitales. Así, la identificación tiende a requerir justificaciones mucho más sólidas, siquiera sea porque un número mayor de interesados se ven afectados. No todos los tratamientos tienen la misma intensidad de impacto o requieren idénticas medidas de protección. La norma general se mantiene: la prohibición del artículo 9.1 puede exceptuarse solo mediante las circunstancias específicas del artículo 9.2, como por ejemplo el C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 29/73 consentimiento explícito del interesado, el interés público relevante, o el que se hayan hecho manifiestamente públicos. Sin embargo, cuando se emplean datos biométricos en contextos de bajo riesgo o control restringido, el impacto sobre derechos y libertades puede ser menor, lo que influye en la proporcionalidad de las salvaguardas exigidas. Cabe mencionar expresiones de la voluntad legislativa de mantener diferencias respecto de estos tratamientos diferentes. Así, la Directiva (UE) 2024/2831 sobre trabajadores de plataformas digitales prohíbe expresamente el uso de datos biométricos con fines de identificación (1:N), es decir, mediante el cotejo de los datos de una persona con los de una base de datos de múltiples individuos. En cambio, permite la autenticación o verificación unívoca (1:1) con las garantías correspondiente a los datos especialmente protegidos cuando esta se limita a cotejar los datos del interesado con los que él mismo proporcionó previamente, siempre que el tratamiento sea lícito conforme al RGPD u otras normas aplicables (Considerando 41). Esta Directiva mantiene así una distinción funcional y jurídica clara entre identificación y autenticación, reconociendo su diferente impacto sobre los derechos fundamentales el tratamiento de estos datos sensibles. En un sentido similar, el Reglamento (UE) 2024/1684 sobre inteligencia artificial, mantiene esa distinción operativa y jurídica (considerandos 14 y ss.). En particular, el Anexo III. 1º distingue claramente entre identificación biométrica remota (varios-a-varios, M:N), considerada de alto riesgo, y verificación biométrica (uno-a-uno, 1:1), que queda expresamente excluida cuando su única finalidad es confirmar la identidad declarada por una persona. Esta distinción, de nuevo, refleja una diferencia en el nivel de impacto y riesgo sobre los derechos fundamentales. Así las cosas y en el contexto de la normativa de protección de datos que aquí interesa, sin perjuicio de que nos encontramos ante datos especialmente protegidos del artículo 9, no todos los tratamientos basados en el artículo 9 del RGPD comportan el mismo nivel de riesgo ni exigen el mismo grado de salvaguardas. Desde una perspectiva de la legalidad y, especialmente de la proporcionalidad y evaluación de riesgos, la identificación (1:N) suele presentar mayores riesgos para los derechos y libertades fundamentales, en especial por su carácter invasivo y su tendencia a extenderse sin control en el caso de la identificación remota. En cambio, la autenticación biométrica localizada, bien diseñada y según toda una serie de circunstancias a tener en cuenta en cada caso concreto, puede ser en muchos contextos más proporcionada y menos intrusiva, especialmente si existe regulación o consentimiento libre e informado y garantías adecuadas. Por tanto, aunque desde el plano formal ambos usos pueden estar incluidos en el artículo 9 del RGPD, el impacto real sobre los derechos y la intensidad de las medidas de protección requeridas pueden variar sustancialmente, debiendo valorarse caso por caso en función del contexto, la escala, la tecnología empleada y el control efectivo que conserve el interesado sobre sus datos biométricos. En este supuesto existe tratamiento de datos biométricos en el sistema de fichaje utilizado por la parte reclamada, que recoge una muestra de la huella, extrae los puntos determinados y genera un patrón biométrico que se almacena y se emplea para realizar comparaciones 1-N (donde los riesgos son mayores), cuando el empleado introduce su huella en el terminal de fichaje correspondiente para poder registrar su jornada. Se utiliza, en consecuencia, un sistema de identificación. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 30/73 2.2. Operaciones objeto de tratamiento El artículo 4.2 del RGPD define el “tratamiento” como: “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;”. De acuerdo con lo expuesto, la implantación del sistema de control de jornada laboral por la parte reclamada supuso la realización de un tratamiento de datos personales cuya finalidad es posibilitar el control de la jornada laboral de sus empleados, a través de un medio obligatorio de fichaje que precisa la detección de huella dactilar, lo que implica realizar, al menos, las siguientes operaciones de tratamiento sobre un conjunto de datos personales diferentes, según el artículo 4.2 del RGPD: extracción, registro, almacenamiento, comparación o utilización, supresión. 2.3. Responsable del tratamiento Por lo que respecta a la responsabilidad, el artículo 4.7. del RGPD, define al: “7) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros”. En el presente caso, MAXAMCORP es el responsable del tratamiento, pues es quien determina los fines y medios del tratamiento. 2.4 Análisis del supuesto presente: tratamiento realizado por el nuevo sistema de registro de jornada implantado por MAXAMCORP. En el presente supuesto, MAXAMCORP señala que implantó un nuevo sistema de registro de jornada de sus empleados a partir de 7 de junio de 2023 que estuvo vigente hasta el 12 de enero de 2024 pero que consideró que el programa que había contratado para ello con la empresa ***EMPRESA.1, y su subcontratada ***EMPRESA.2 -denominado ***PROGRAMA.1-, no implicaba el tratamiento de datos personales, ni por tanto, de datos biométricos de carácter personal, negando la calificación de éstos como categoría especial. Y pese a que manifiesta en sus escritos de respuesta que el nuevo sistema implantó varios métodos de fichaje de jornada, aporta la elaboración de una EIPD previa al inicio del tratamiento (1 de febrero de 2023), en la que se analiza únicamente el sistema de fichaje de jornada mediante huella dactilar, y se determina que el mismo no trata datos personales, ni datos personales de categoría especial. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 31/73 De la información y documentación aportada por la empresa reclamada se derivan los siguientes aspectos: - A la vista de la documentación aportada por la reclamada, tal y como se ha comprobado durante las actuaciones previas de investigación, consta acreditado que la empresa, tras comunicar el 13 de diciembre de 2022 al Comité de Empresa de los trabajadores su intención de introducir un sistema de jornada laboral basado en huella dactilar, la empresa recogió la muestra de huella dactilar de los 137 empleados del centro de trabajo de Páramo entre el 26-4-23 y el 5-523. - A la vista de los documentos aportados por ambas partes tras iniciarse la recogida de datos biométricos en la empresa, el Comité de Empresa mostró su disconformidad con el sistema presentando un escrito a la dirección con fecha de 10 de mayo de 2023. La empresa se reunió el 19 de mayo de 2023 al objeto de tratar esta cuestión, y entendiendo que la disconformidad “partía de una premisa errónea” dado que su programa no trataba datos biométricos, ni datos personales, y decidió continuar con la implantación del sistema de registro de jornada por huella dactilar a partir del 7 de junio de 2023 remitiendo una comunicación al Comité de Empresa el 23 de mayo de 2023. - Consta, aportado por la entidad reclamada durante las actuaciones de traslado, una Instrucción de Recursos Humanos de 19-4-23 sobre “Registro de Jornada de Centro de Páramo de Mesa”, en la que se regula el procedimiento de registro de jornada diario para el colectivo de jornada partida no sujeto a turnos aplicable a todos los trabajadores del centro. - Asimismo, una vez recogidas las muestras de huella entre abril y mayo de 2023el sistema de detección de huella dactilar del programa ***PROGRAMA.1 comenzó a ser obligatorio para los empleados como método de registro de jornada a partir de junio de 2023, y estuvo vigente hasta el 12 de enero de 2024, fecha en la que la empresa comunicó a sus empleados que había decidido paralizar su utilización, según también consta reconocido por la empresa. - Reconoce también la empresa reclamada en su respuesta al requerimiento realizado durante las actuaciones previas de investigación, que, con carácter previo a la implementación de sistemas de fichaje, contaba con un sistema de acceso (no de registro de jornada) basado en el empleo de tarjetas magnéticas. - Y, finalmente, el último documento aportado al respecto es la mencionada Instrucción de Recursos Humanos de 19 de abril de 2023, que según señala MAXAMCORP iba adjunta a la comunicación de inicio de implantación del sistema que se remitió el 2 de junio de 2023. Esta Instrucción reitera el contenido del anterior acuerdo de marzo de 2023, y pese a que no establece tampoco la enumeración de los posibles medios o sistemas de fichaje, si añade un apartado 4 sobre “Protección de datos biométricos”, que reconoce que se va a utilizar el programa ***PROGRAMA.1, y adjunta dos Guías de instalación adjuntas a dichas instrucciones en las que se hace referencia al fichaje mediante web (puesto que existe una función de fichar), así como a través de APP en el móvil. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 32/73 Asimismo, se indica que: “Respecto al personal que presta sus servicios fuera del centro de trabajo con carácter habitual o cuando la empresa así lo considere necesario por otras circunstancias (viajes de trabajo, acciones formativas, desarrollo parcial de la jornada de trabajo fuera del centro ya sea con carácter habitual u ocasional y cualesquiera otros a juicio de la dirección), se pondrá a disposición de los/as trabajadoras un sistema telemático, ya sea a través del ordenador personal, ya sea a través del teléfono móvil, para que puedan cumplir con su obligación de registro diario de la jornada. Cuando la persona trabajadora deba realizar desplazamiento fuera de su localidad habitual de trabajo durante la jornada laboral diaria por razón de su actividad laboral y/o actividades formativas, se considerarán cumplidas las horas de trabajo efectivas que correspondan a su régimen de jornada y horario, registrándose como incidencia el “viaje de trabajo”. Todo ello sin perjuicio de la validación posterior (…) como alternativa a lo anterior, cabe la posibilidad de que el trabajador, si así lo decide, pueda registrar manualmente a través de la aplicación móvil fichajes correspondientes durante su respectiva jornada de trabajo. Este mismo procedimiento de registro será de aplicación a los viajes internacionales, en los cuales se deberá tener en cuenta los horarios especiales realizados para cumplir asignaciones (…)”. En concreto, la Guía Rápida del Portal del Empleado de ***PROGRAMA.1 tiene una función que permite el fichaje del empleado vía web; y en la Guía configuración APP ***PROGRAMA.1 Fichajes, fichar la jornada con el teléfono móvil, y se señala: “La App “***PROGRAMA.1 Fichajes” ya está instalada en aquellos terminales móviles corporativos Android para todos los empleados de MAXAMCORP Madrid”, “Encontrareis en el menú, la opción “viaje". Esta opción está destinada para realizarlos fichajes de manera automática los días que se esté de viaje por motivos laborales, pudiendo programar la fecha de inicio y la fecha de finalización”. De lo anterior se deduce que MAXAMCORP contaba con tres sistemas de fichaje: uno mediante huella dactilar, un sistema programable a través del teléfono corporativo reservado a viajes y un sistema a través de la web. Los sistemas anteriores implican el tratamiento de datos personales: Datos personales de carácter nominativo: necesarios para la identificación en cualquier sistema de fichaje de los mencionados. Datos personales de carácter biométrico: empleados por el nuevo sistema de fichaje a través de huella dactilar, que en el centro de trabajo de Páramo se utilizaba como método principal de registro de jornada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 33/73 No obstante, no constan evidencias ciertas de que el sistema de fichaje programable para viajes a través del teléfono móvil corporativo realizara un tratamiento de datos de geolocalización. Este aspecto ha sido, además, expresamente negado por la parte reclamada en su escrito de 27 de marzo de 2025. Por ello, quedan fuera del objeto del procedimiento y no se tomarán en consideración en los fundamentos que siguen el tratamiento de datos de geolocalización. - MAXAMCORP niega en los dos escritos presentados ante la AEPD durante las actuaciones de traslado y durante las actuaciones previas de investigación que el programa ***PROGRAMA.1 que ha contratado para realizar el registro de jornada de sus empleados trate datos personales, y, mucho menos, datos biométricos de categoría especial, considerando, por ello, que no tenía obligación de disponer de una excepción del artículo 9.2 del RGPD que le habilite al tratamiento ni el deber de elaborar con carácter previo una EIPD. Y señala que, pese a no ser necesario, ha elaborado una previa EIPD con fecha de 1 de febrero de 2023 en la que se determinó que no existía tal tratamiento de datos personales. La argumentación de la empresa reclamada al respecto del no tratamiento de datos personales biométricos, se contiene, básicamente, en los siguientes escritos y documentos: - Se aporta un Registro de actividades de tratamiento (RAT) donde consta descrita la actividad de tratamiento denominada Control de horario, en la que no se hace constar el tratamiento de datos personales biométricos, sino meramente “identificativos” sin mayor especificación al respecto: “Finalidad del tratamiento: Control empresarial a fin de garantizar el cumplimiento de la jornada laboral y la presencia en el puesto de trabajo, así como e documentar, en su caso, las horas extraordinarias del rabajador. Categoría de datos: Identificativos.” - Según la EIPD, y las mencionadas instrucciones sobre registro de jornada de 19-4-23 que se remitieron a los empleados del centro de trabajo de Páramo de Masa según la empresa, el programa ***PROGRAMA.1 realiza una lectura parcial de la huella dactilar y convierte dichos fragmentos en un dato no personal, por lo que se entiende que el programa no trata datos personales. Es más, en su argumentación se parte de que el programa convierte datos biométricos (la muestra obtenida de la lectura parcial de la huella) en datos no personales, a través de un sistema que utiliza un “algoritmo de punta a punta”. En concreto, la EIPD de 1 de febrero de 2023 señala al respecto que: “En cuanto al sistema de registro diario de jornada a través de huella, tras la lectura de la misma por los oportunos dispositivos electrónicos, se procederá a la conversión de dichos fragmentos en un dato no personal mediante un sistema que posibilita su transformación en un "algoritmo de encriptación de punta a punta" para su posterior C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 34/73 almacenamiento en los servidores del responsable hasta que se haga, en su caso, el uso permitido de los mismos.(…)” “Aunque no se ha dejado conscientemente ningún aspecto fuera de la presente EIPD, lo cierto es que el alcance de esta se ha centrado en los aspectos relativos a la posible captura de datos biométricos (captación de huella), llegándose a la conclusión de que al ser una lectura parcial de huella convertida en un algoritmo de encriptación de punta a punta, no implica tratamiento de datos personales.” - Y por último, en el punto 4.4 de su escrito de respuesta al requerimiento realizado durante las actuaciones previas de investigación, se niega expresamente que los datos tratados sean datos de carácter especial, toda vez que la empresa reclamada entiende erróneamente que: “Esta parte considera que, al recogerse partes de la huella dactilar, no su totalidad, no hay tratamiento de categorías especiales de datos”. Contrariamente a lo que entiende la reclamada, el sistema de fichaje mediante huella dactilar sí implica el tratamiento de datos biométricos considerados como de categoría especial, porque, aunque no almacene la totalidad de la huella recogida de sus empleados, utiliza un programa que está generando, almacenando y explotando un patrón biométrico extraído de la huella de sus empleados. Constan evidencias de que el sistema de registro de jornada mediante huella dactilar empleado por el programa ***PROGRAMA.1 cumple con las 3 características que establece el artículo 4.14 del RGPD para definir a los datos biométricos de carácter personal: (
  18. i)parte de características físicas de los empleados (en este caso muestra de la lectura de fragmentos de su huella); (
  19. ii)las procesa técnicamente para convertirlas en un patrón biométrico o plantilla, que es un código identificador único del empleado; (iii) y el patrón biométrico y el sistema empleado al fichar mediante la huella dactilar se dirige a identificar de forma unívoca al empleado que registra la jornada. La EIPD de febrero de 2023 incurre en varias contradicciones puesto que: (
  20. i)Parte de señalar que existe obligación de elaborar una EIPD, señalando en su introducción que “Teniendo en cuenta que el sistema de registro diario de jornada contempla, entre otras opciones. la posibilidad de que el control se lleve a cabo mediante la captación de datos biométricos, en concreto a través de la lectura de la huella dactilar de los trabajadores. se ha concluido que debería llevarse a cabo la oportuna evaluación de impacto en protección de datos (la "EIPD") que eventualmente derivaría de la puesta en marcha del citado sistema de registro de jornada dirigida a la oportuna gestión de riesgos asociados a este tratamiento porque el nuevo sistema implica el tratamiento de datos biométricos”. (
  21. ii)Pero posteriormente considera que “no existe tal tratamiento de datos personales” en su apartado V, puesto que entiende que el programa captura un dato biométrico personal (fragmentos de huella dactilar) y lo procesa y lo convierte en un dato no personal (patrón alfanumérico). La EIPD deduce, además, que el procesamiento que realiza el programa “al C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 35/73 utilizar un algoritmo de punta a punta” convierte a un dato personal biométrico en un dato no personal. En concreto, el apartado V de la EIPD describe el tratamiento de la siguiente manera: “V. DESCRIPCIÓN DEL TRATAMIENTO”: “Como se ha expuesto con anterioridad, al ser una lectura parcial de huella convertida en un algoritmo de encriptación de punta a punta, no implica un tratamiento de datos personales. El sistema de registro diario de jornada, a través de la lectura de fragmentos de huella, se estructurará en tres fases o momentos; a saber:
(1)Como ha quedado indicado anteriormente la lectura de fragmentos de la huella, a través de los correspondientes dispositivos de hardware específicos instalados en los centros de trabajo de la empresa responsable de tratamiento:
(2)La conversión del mapa creado a partir de la lectura de fragmentos de la huella en un "algoritmo encriptado de punta a punta", todo ello mediante el correspondiente software; y
(3)El almacenamiento del mencionado algoritmo disponible para la empresa responsable y, en su caso, para las demás personas y entidades que conforme a la ley pueden tener derecho a acceder al mismo. Los dispositivos de hardware han sido adquiridos por la empresa responsable siguiendo las recomendaciones de su proveedor de servicio en esta materia, por considerar que los mismos gozan de todas medidas legalmente requeridas y que ofrecen las máximas garantías. La fase de conversión del mapa creado a partir de la lectura de fragmentos de la huella en "algoritmo encriptado de punta a punta" se lleva a cabo mediante el oportuno software", que permite que en realidad no viajen los datos personales sino los mencionados algoritmos, lo que proporciona el nivel de seguridad deseado en todo el proceso.” Y al igual que la EIPD, las Instrucciones de RRHH sobre las normas de funcionamiento del nuevo sistema de registro de jornada aportada que la reclamada dice haber entregado a los empleados realizan esta misma, dedican su apartado 4 sobre “Protección de datos biométricos” a explicar cómo funciona el sistema, partiendo de que el programa registra datos biométricos, realizando la siguiente afirmación, antes de reiterar todo lo expuesto respecto a la conversión de los datos biométricos en la EIPD: “***PROGRAMA.1 es un software para el registro de jornada que puede registrar datos biométricos para correcto fichaje de los trabajadores. El único dato biométrico leído por el terminal de fichaje son partes de la huella dactilar C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 36/73 de los usuarios. No está habilitada la captura de otros datos biométricos como pueden ser la voz o la identificación facial. El sistema de huella dactilar resulta el método más apropiado para implementar en la empresa (…). Cabe aclarar que la empresa reclamada parte de varias premisas erróneas en su argumentación: - La empresa reclamada considera que la muestra obtenida de los fragmentos de la huella (información biométrica en bruto) es un dato biométrico, pero que al procesarla con el “algoritmo de punta a punta” a través de tres fases, se convierte en un dato no personal. Pero con esta interpretación no está teniendo en cuenta la definición de dato biométrico de carácter personal que ha realizado la normativa, y es que según el artículo 4.14 del RGPD para que exista un dato biométrico personal es necesario que la información biométrica en bruto (rasgos extraídos de la muestra de la huella) sea procesada técnicamente para generar un código identificador único de esa persona que pueda ser interpretado por una máquina dentro de un sistema automatizado dirigido a verificar la identidad del empleado que registra el inicio y fin de su jornada laboral, que es el patrón biométrico. Nos remitimos a lo ya explicado al respecto en este escrito. De acuerdo con la documentación aportada, se confirma que lo que en realidad hace el programa es convertir el dato obtenido en bruto (muestra) en un dato biométrico de carácter personal que puede utilizarse para identificar al empleado mediante un tratamiento automatizado (patrón biométrico que tiene la forma de un código alfanumérico). Siendo, además, indiferente si el programa captura la totalidad de la huella o uno de sus fragmentos, pues basta con un fragmento del que se extraigan las características o rasgos necesarios para poder generar este patrón biométrico, como ya se ha señalado en el apartado 3.1 de este escrito. Así pues, la documentación técnica de “Solución ***PROGRAMA.1” elaborada por MAXAMCORP CORP, que se aportó junto con su escrito remitido en las contestaciones de al traslado de la reclamación señala claramente que los dispositivos permiten “la identificación biométrica por huella digital”, y que el programa genera y archiva un patrón biométrico que se genera a partir de la lectura parcial de la huella dactilar: “Los dispositivos de lectura son dispositivos ***EMPRESA.3 (…) que permiten la identificación biométrica por huella digital y con tarjetas electrónicas RFID. […] El dato biométrico se lee del terminal de fichaje y se codifica bajo un cifrado único por dato construyendo un patrón biométrico, que no es una imagen o copia del dato biométrico y por tanto no puede suplantar a éste. El patrón biométrico se guarda en la base de datos de la aplicación y en un fichero privado que usa la Librería del Lector de Huellas. Cuando se lee el dato biométrico se llama a una función de la interfaz del reloj y se determina el Empleado en base al Patrón, no realizándose ninguna comparación de huella. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 37/73 Si algún código cifrado o patrón es el mismo, con un alto porcentaje de similitud, que el leído, se da por válida la lectura. En ningún caso los datos almacenados pueden servir para autenticarse por sí solos sin la huella del usuario. De este modo, se asegura que los puntos característicos de las huellas dactilares recopilados por todos los lectores no se pueden utilizar para restaurar las imágenes originales de las huellas dactilares.” - Cabe aclarar que, contrariamente a lo que entiende la reclamada, el hecho de que el programa emplee para el cifrado de los datos biométricos obtenidos un “algoritmo de encriptación "de punta a punta" no convierte a las muestras de huella en datos no personales, como señala la reclamada en su escrito durante las actuaciones de traslado y de actuaciones previas de investigación. El algoritmo de encriptación de “punta a punta” o de “extremo a extremo”1 es un sistema de comunicación en el que solo los usuarios que se comunican pueden leer los mensajes. Asegura que un mensaje sea convertido en un mensaje secreto en su envío original y se descifra solo por el destinatario final. Este algoritmo utiliza funciones matemáticas complejas para codificar los datos en un formato ilegible, conocido como texto cifrado. Solo los usuarios autorizados con una clave secreta, conocida como clave de descifrado, pueden leer los mensajes. Este sistema de cifrado de la información, muy común en los sistemas que procesan datos biométricos, es una de las medidas de seguridad que pueden ser aplicadas, entre otras muchas, para reducir los riesgos concurrentes en supuestos de brechas de confidencialidad de los datos. Pero lo que se está cifrando en este caso es el patrón biométrico: el dato personal biométrico obtenido al procesar la imagen o muestra parcial de la huella. La encriptación se realiza tras haberse generado dicho código o patrón biométrico, para protegerla de ser conocida por terceros, pero no convierte al patrón biométrico en un dato no personal, no transforma su naturaleza, puesto que sigue sirviendo a su finalidad de identificar de forma unívoca al interesado que realiza la lectura de su huella al registrar su jornada. 1 «Hacker Lexicon: What Is End-to-End Encryption?». WIRED (en inglés estadounidense). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 38/73 Es de señalar que esta argumentación sobre los efectos del algoritmo de punta a punta se mantiene en toda la documentación aportada por la reclamada, que ha sido elaborada por la misma (EIPD, Instrucciones de 19-4-23, y documento de descripción técnica de la solución ***PROGRAMA.1), pero la reclamada no aporta ningún documento del fabricante o encargado del desarrollo del programa en el que se confirme esta argumentación. De acuerdo con la Diligencia de 23 de enero de 2025, y la documentación aportada sobre el encargo del tratamiento, el desarrollador y propietario del programa ***PROGRAMA.1 es OCHOOCHENTA, S.A, del que ***EMPRESA.2 actúa como partner, pero no se aporta ningún documento suscrito por ninguno de estos. El único documento aportado que contiene información técnica del fabricante es la referida al fabricante de los dispositivos ***EMPRESA.3, que se adjunta al referido documento de descripción técnica elaborado por “MAXAMCORP Beyond Performance” el 1-9-23, con el nombre de “(…) BIOMETRIC TECHNOLOGIES EXPLAINED”, redactado en idioma inglés. Pero este documento no menciona el algoritmo ni la conversión de los datos en no personales, sino que se refiere únicamente a cómo se captura la muestra de la huella dactilar, confirmando que se genera una plantilla biométrica que se toma de referencia para convertirla en un dato identificativo susceptible de búsqueda por el sistema. - Por último, respecto a la manifestación reiterada de que el programa capta únicamente fragmentos de la huella dactilar, por lo que el dato captado no es susceptible de ser revertido para obtener la huella original, señalar que el documento de ***EMPRESA.3 arriba referenciado confirma este hecho, que se tiene en cuenta en el expediente. No obstante, como se ha dicho anteriormente, el hecho de que no se pueda reconstruir la imagen de la huella (información biométrica en bruto) a partir de la muestra capturada por los dispositivos para generar el patrón biométrico, es habitual en los sistemas de procesamiento de datos biométricos, así como no almacenar las huellas originales completas, pero ello no implica que: (
  1. i)no se traten datos biométricos de carácter personal, puesto que se genera y almacena un patrón biométrico, aunque no se almacene la imagen de la huella; (
  2. ii)ni tampoco implica que no pueda ser descifrada la identidad del titular de la huella dactilar en caso de brecha como alega la reclamada, puesto que el patrón biométrico permite singularizar a un individuo y verificar que es él y sólo él, a través de “elementos propios de la identidad física, fisiológica, genética, psíquica” que se manifiestan bajo la forma de un código alfanumérico, y este código es susceptible de ser descifrado por un sistema automatizado, sin necesidad de disponer de la muestra o dato en bruto de la huella. III.Contestación a las alegaciones al acuerdo de inicio. Se procede a la contestación de las alegaciones presentadas por MAXAMCORP, siguiendo el orden en el que han sido expuestas en los antecedentes de derecho. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 39/73 1. Respecto a las alegaciones relativas al artículo 9 del RGPD: - Como se recoge en los antecedentes de hecho, la alegación principal de la parte reclamada radica en que existen elementos elementos que obligan a una valoración individualizada del cumplimiento de los requisitos del artículo 9 del RGPD, que exceden los propios de los recogidos en la legislación y relación laboral, vinculados a aspectos relativos a la actividad realizada por la entidad reclamada (especialidad, riesgo del sector, normativa en materia de seguridad y tamaño y aspectos organizacionales del centro de trabajo). Esta alegación ha de estimarse parcialmente, pues si bien estas circunstancias pueden resultar relevantes y han de tenerse en cuenta en particular a la hora de determinar la cuantía de la sanción, no desvirtúan la infracción en sí. Así, no puede obviarse que MAXAMCORP inició un tratamiento de datos de categoría especial negando que estuviera realizando siquiera un tratamiento de datos personales. En consecuencia, ni siquiera valoró la necesidad de una excepción que levantara la prohibición de tratamiento de datos personales. Tal y como se recoge en los hechos probados del presente documento. Por otra parte, la normativa a la que se hace referencia, en tanto en cuanto, no tiene rango de ley, no tiene entidad suficiente para entenderse incluida dentro de las previsiones del artículo 9.2
  3. b)del RGPD, sin que se haya acreditado la existencia de otro supuesto. - Por otra parte, se corrige en este documento, respecto a las afirmaciones contenidas en el acuerdo de inicio, que el sistema de tarjetas magnéticas utilizado por MAXAMCORP se preveía en la organización únicamente a efectos de acceso de los empleados, pero no de fichaje. - Asimismo, en cuanto a las alegaciones relativas a que no se trata de una infracción continuada, se subraya que el acuerdo de inicio hacía referencia a que la infracción se había extendido en el tiempo. Se trata, por tanto, de una infracción permanente, que de acuerdo con la STS de 28 de enero de 2018 (recurso núm. 2697/2016) supone que “la infracción permanente no requiere un concurso de conductas ilícitas sino una única acción de carácter duradero, cuyo contenido antijurídico se prolongue a lo largo del tiempo, en tanto el sujeto activo no decida cesar en la ejecución de su conducta”. - En cuanto a las afirmaciones relativas a que no se ha producido una relación de desequilibrio, ha de precisarse que la relación empresario-trabajador es un ejemplo de clásico de relaciones en las que existe una relación de desequilibrio de poder entre las partes. La noción de desequilibrio entre el responsable del tratamiento y el interesado también se tiene en cuenta en el RGPD, tal y como señalan las Directrices 05/2020 sobre el consentimiento en el sentido del Reglamento (UE) 2016/679. De ahí que, por ejemplo, el consentimiento esté, con carácter general, excluido en estas situaciones. Por otra parte, las Directrices 04/2022 sobre el cálculo de las multas bajo el RGPD consagran las circunstancias del artículo 83.2
  4. a)del RGPD como uno de los elementos a valorar para determinar el nivel de gravedad de una infracción. En las mencionadas directrices se señala a este respecto, que, en relación con la naturaleza del tratamiento debe tenerse en cuenta “el desequilibrio entre los C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 40/73 interesados y el responsable del tratamiento (por ejemplo, cuando los interesados sean empleados (…)”. - Por último, ha de estimarse la alegación, a efectos de graduación de la sanción, relativa a que el tratamiento únicamente se extendió en el tiempo durante 7 meses, que solo fueron 137 los afectos y que el tratamiento fue suspendido tras la Guía de la AEPD de noviembre de 2023. 2. En relación con las alegaciones relativas al artículo 35 del RGPD: - En lo referente a las alegaciones a la que la EIPD se llevó a cabo y que no cabe imputar a los administrados disparidad de criterios (entre el administrado y la AEPD) respecto a su contenido, conviene realizar algunas precisiones: (
  5. i)La existencia de una EIPD no ha sido cuestionada ni en el acuerdo de inicio ni en el presente documento. Al contrario, su existencia ha sido tenido en cuenta a efectos de determinar la valoración de las circunstancias del artículo 83.2
  6. a)del RGPD. Lo que justifica la imputación del artículo 35 RGPD tal y como se contenía en el acuerdo de inicio radica en la existencia de deficiencias notables en la misma que se entiende que no cumplen el mínimo establecido por el mencionado artículo. (
  7. ii)Asimismo, se subraya que el RGPD supone un nuevo enfoque orientado al riesgo en el que la responsabilidad proactiva del responsable, consagrado como principio en el artículo 5.2 y desarrollado en el artículo 24.1 del RGPD, ocupa un papel central. Así, el responsable no solo tendrá que adoptar medidas y cumplir con las obligaciones de hacer o no hacer que le imponga expresa o tácitamente el RGPD, si no que tendrá que ser capaz de demostrar en todo momento que el tratamiento efectuado es acorde a la normativa. La obligación de elaborar una EIPD emana del principio de responsabilidad proactiva del artículo 5.2 del RGPD. Dicho lo anterior, conviene remarcar que difícilmente puede argumentarse la existencia de disparidad de criterios interpretativos en este caso, puesto que las deficiencias apreciadas resultan elementales y respecto a las que no es necesario efectuar interpretación alguna. Así, la ausencia de la identificación de los riesgos asociados al tratamiento, la ausencia de identificación de los derechos y libertades afectados por el mismo, el no desarrollo de medidas de seguridad, o la incapacidad para realizar una adecuada descripción de las operaciones de tratamiento (en tanto que la EIPD niega el tratamiento de datos personales, pero identifica una base de legitimación), así como el resto de elementos a los que se hace referencia en el fundamento jurídico relativo a la infracción del artículo 35 del RGPD no pueden ampararse en la existencia de una disparidad de criterios. - Por otra parte, en relación con la alegación relativa a que bastaría con la imputación de un error de partida al elaborar la EIPD “que no se ha realizado una EIPD para un tratamiento de datos personales, sino para cumplir con la finalidad pretendida”, ha de precisarse que se realiza una única imputación de una infracción (la del artículo 35 del RGPD) por su incumplimiento, sin perjuicio de que se analicen todas las carencias que presenta la EIPD presentada. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeaepd.gob.es 41/73 - En lo relativo a las alegaciones referentes al juicio de proporcionalidad, y que debe tenerse en cuenta la especial situación de la organización teniendo en cuenta su objeto y las materias que trata. No puede obviarse la veracidad de las afirmaciones realizadas por MAXAMCORP, en cuanto a las particulares circunstancias que rodean su empresa atendiendo a la actividad a la que se dedica y las características de su organización. No obstante, ha de subrayarse tal y como reconoce la parte reclamada que los aspectos anteriores no se encuentran recogidos en la EIPD. Así, en el juicio de proporcionalidad efectuado, no se defina con claridad cuál o cuáles son los medios de fichaje previstos y cuáles las alternativas analizadas, ni tampoco las especiales circunstancias de la empresa (como, por ejemplo, por razón de su actividad y las implicaciones que esta puede tener en otros derechos fundamentales) que requerirían uno u otro sistema o que, por el contrario, le llevarían a rechazar la implementación de algunos de ellos (como el de las tarjetas magnéticas). Estos elementos deberían haberse incluido en el juicio de proporcionalidad efectuado para justificar la necesidad, idoneidad y proporcionalidad del tratamiento efectuado, lo que, como se refleja en el fundamento jurídico relativo a esta infracción no se hizo. - En cuanto a la naturaleza de la infracción, y su disconformidad con que reciba el tratamiento de continuada, ha de señalarse que esta no tiene tal consideración, siendo en todo caso permanente, en tanto que se trata de una única infracción que se ha prolongado en el tiempo. A este respecto se señala que el TS dice que “constituyen infracciones permanentes aquellas conductas antijurídicas que persisten en el tiempo y no se agotan con un solo acto, determinando el mantenimiento de la situación antijurídica a voluntad del autor, caso del desarrollo en el tiempo de actividades sin las preceptivas autorizaciones y otros supuestos semejantes”, STS de 7 de marzo de 2006. - En cuanto a las manifestaciones sobre que en el acuerdo de inicio

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.