REPOSICION-E-04063-2013

1/4 Procedimiento nº.: E/04063/2013 ASUNTO: Recurso de Reposición Nº RR/00648/2014 Examinado el recurso de reposición interpuesto por D.ª A.A.A. contra la resolución dictada por el Director de la Agencia Española de Protección de Datos en el expediente de actuaciones previas de inspección E/04063/2013, y en base a los siguientes HECHOS PRIMERO: Con fecha 24 de julio de 2014, se dictó resolución por el Director de la Agencia en el expediente de actuaciones previas de inspección E/04063/2013, seguido a instancia de D.ª A.A.A., en el que se procedió al Archivo de actuaciones tras la realización del correspondiente período de diligencias previas, al concluierse que los denunciantes entre las que se encontraba la recurrente así como los representantes sindicales y el resto de trabajadores del INE fueron informados previamente y con carácter general de la gradual implantación del sistema de la toma de la huella dactilar y de su finalidad, señalándose la complejidad de la difusión puntual en un organismo con implantación a nivel nacional. Dicha resolución de 24 de julio de 2014, fue notificada al recurrente el 31 de julio de 2014, según aviso de recibo. SEGUNDO: D.ª A.A.A. (en lo sucesivo la recurrente) ha presentado recurso potestativo de Reposición en la Delegación del Gobierno en Navarra con fecha 29 de agosto de 2014 , con entrada en esta Agencia el 3 de septiembre 2014, fundamentándolo, básicamente, en que todas las actuaciones del INE fueron posteriores a la fecha de su denuncia y los derechos en materia de protección de datos fueron infringidos el 5 de junio de 2013, sin aportación de soporte documental. FUNDAMENTOS DE DERECHO I Es competente para resolver el presente recurso el Director de la Agencia Española de Protección de Datos, de conformidad con lo dispuesto en el artículo 116 de la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las Administraciones Públicas y del Procedimiento Administrativo Común (en lo sucesivo LRJPAC). II En el presente caso, se ha de señalar que la resolución impugnada fue adoptada en C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/4 base a las Diligencias Previas seguidas por la Inspección de Datos ante el Instituto Nacional de Estadística -INE-. La LOPD en su artículo 40 reconoce a la AEPD la “ potestad inspectora” y en su apartado 1, recoge: “ Las autoridades de control podrán inspeccionar...” El Reglamento 1720/2007 de 21/12, por el que se aprueba el Reglamento de desarrollo de la LOPD en su artículo 122 prevé:“ 1…., se podrán realizar actuaciones previas con objeto de determinar si concurren circunstancias que justifiquen tal iniciación...” y el R. D. 1398/1993, de 4/08, del Reglamento del Procedimiento para el ejercicio de la Potestad Sancionadora en su artículo 12 dispone lo siguiente: “ Con anterioridad a la iniciación del procedimiento, se podrán realizar actuaciones previas de investigación..” La resolución recurrida recoge respecto a la información que a la ahora recurrnte facilito el INE, lo siguiente: << En relación con la denunciante, trabajadora de la Delegación de Navarra, tuvo conocimiento, en fecha 3 de junio de 2013, por medio de correo electrónico que le remite su inmediato superior jerárquico, de la necesidad de que se le tomaran las huellas, que coincide con el aportado por la otra denunciante . Asimismo, se le informa en reiteradas ocasiones, entre otras, las que se describen a continuación. El 7 de junio de 2013, se informó a todos los trabajadores de la Delegación de Navarra, entre los que se encuentra la dirección de la denunciante <...@...>, por medio de correo electrónico en los siguientes términos :“INFORMACIÓN SOBRE LOS TERMINALES DE CONTROL HORARIO: Se han instalado en los locales de esta Delegación, unos terminales de control horario por huella digital. El funcionamiento de este sistema conlleva la captura de un par de huellas dactilares del personal de la delegación para asociarla a su tarjeta y que el marcaje de entrada y salida se asocie a la persona. (…). Posteriormente hemos procedido al borrado de todos los datos en espera a que haya sido registrada la base en la Agencia de Protección de Datos. (…). Una vez se produzca esta circunstancia se volverán a grabar las huellas digitales y se podrá iniciar el control horario por el nuevo sistema. Hasta entonces, seguiremos con el actual sistema manual. El 11 de septiembre de 2013, se informa por correo electrónico a todo el personal de laDelegación de lo siguiente: “Implantación del Sistema de Control Horario, mediante huella digital, en el INE de Navarra. Una vez publicada la Resolución del Presidente del INE por la que se crean los ficheros de datos personales del INE, requisito previo obligado para la implantación de este sistema de control horario, se va a proceder a su implantación en la Delegación Provincial del INE en Navarra. Para ello, se van a grabar las huellas del personal de oficina de esta Delegación en la semana del 16 al 20 de septiembre y se realizarán pruebas durante este mes. Podéis acudir para realizar la grabación (…). El INE tiene inscrito en el Registro General de Protección de Datos los fichero de “Control Horario” correspondientes a las provincias de Cádiz, Navarra y Pontevedra en los que se prevé el tratamiento de dato de la “ huella dactilar”. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/4 Ha de tenerse en cuenta el criterio de la Audiencia Nacional recogido en su sentencia estimatoria de 4/03/210 en el Recurso contencioso administrativo 234/2008, frente a una resolución de esta Agencia, en un procedimiento de infracción de Administración Pública por infracción del art. 20 por tratamiento de datos biométricos, que en su Fundamento Quinto establece: <<…Ahora bien, la parte actora ha aportado como documento número 15 con su escrito de demanda, una resolución de archivo de actuaciones recaída a un escrito de una Central Sindical que denunciaba al citado Ayuntamiento por la implantación de un sistema de control de presencia a través de la captura de la huella dactilar, que no habría sido aprobado por la correspondiente disposición de carácter general. El citado Ayuntamiento tenía inscrito un fichero denominado "Datos personales de los trabajadores", que contiene los datos personales de los trabajadores, siendo su finalidad y uso el de gestión de "Gestión de personal", por lo que la citada resolución considera que no se ha infringido el artículo 20 LOPD, sin perjuicio de que al haber añadido el Ayuntamiento las huellas dactilares que no aparecen contempladas en los citados datos identificativos, debe proceder a la mayor brevedad posible a adaptar la Orden de creación del fichero a su nueva estructura y a inscribir la citada modificación en el RGPD (…) De todo lo cual se desprende que aunque resultaba conveniente actualizar el fichero FBÁSICO, como así se hizo, para recoger expresamente que entre sus finalidades se encontraba la de control horario mediante la captación de datos biométricos, existe cobertura, como vino a reconocer la AEPD en el precedente citado al acordar el archivo de las actuaciones, lo que en el caso concreto, además, excluiría la culpabilidad de la recurrente, que en la actualidad tiene ya los citados ficheros actualizados mediante disposición general del Ministerio de Fomento. Por otro lado, si no se llevó a cabo la actualización con anterioridad no fue por causa imputable a la APB, como ya se ha expuesto, circunstancia que debe valorarse a la hora de no apreciar falta de culpabilidad en su actuación…>> Con independencia de que el INE aclara que con fecha 3 de junio de 2013 fue informada la denunciante a través del correo electrónico por el Jefe Superior de la toma de huellas; de que el 7 de junio de 2013 se informó a todos los trabajadores de la Delegación de Navarra, entre los que se encuentra la dirección de la denunciante <...@...>, por medio de correo electrónico en los siguientes términos : “Información sobre los terminales de Control Horario”; que posteriormente se procedió al borrado de todos los datos en espera a que haya sido registrada la base en la Agencia de Protección de Datos. (…) y una vez se produzca esta circunstancia se volverán a grabar las huellas digitales y se podrá iniciar el control horario por el nuevo sistema, por lo que seguiremos con el actual sistema manual; y que el 11 de septiembre de 2013, se informa por correo electrónico a todo el personal de la Delegación de lo siguiente: “Implantación del Sistema de Control Horario, mediante huella digital, en el INE de Navarra..”; de todo ello se desprende la diligencia debida del INE en la información previa a los trabajadores de la toma de la huella digital para el control horario, considerándose irrelevante dada la actividad desplegada por el INE de ámbito nacional la discusión planteada por la recurrente consistente en la disparidad de fechas entre el 3 y el 5 de junio de 2013, como fecha de información. III No habiendo aportado elementos que hagan modificar procede la desestimación del recurso. C/ Jorge Juan, 6 28001 – Madrid la resolución recurrida www.agpd.es sedeagpd.gob.es 4/4 Vistos los preceptos citados y demás de general aplicación, El Director de la Agencia Española de Protección de Datos RESUELVE: PRIMERO: DESESTIMAR el recurso de reposición interpuesto por Dª A.A.A. contra la resolución de esta Agencia dictada con fecha 24 de julio de 2014, en el expediente de actuaciones previas de inspección E/04063/2013. SEGUNDO: NOTIFICAR la presente resolución a Dª A.A.A.. De conformidad con lo establecido en el apartado 2 del artículo 37 de la LOPD, en la redacción dada por el artículo 82 de la Ley 62/2003, de 30 de diciembre, de medidas fiscales, administrativas y del orden social, la presente Resolución se hará pública, una vez haya sido notificada a los interesados. La publicación se realizará conforme a lo previsto en la Instrucción 1/2004, de 22 de diciembre, de la Agencia Española de Protección de Datos sobre publicación de sus Resoluciones y con arreglo a lo dispuesto en el artículo 116 del Real Decreto 1720/2007, de 21 diciembre, por el que se aprueba el reglamento de desarrollo de la LOPD. Contra esta resolución, que pone fin a la vía administrativa, se podrá interponer en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto según lo previsto en el artículo 46.1 de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa, recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta del referido texto legal. José Luis Rodríguez Álvarez Director de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es