1/12
Procedimiento Nº: PS/00127/2020
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base
a los siguientes
ANTECEDENTES
PRIMERO: La reclamación interpuesta Dña. A.A.A. (en lo sucesivo la reclamante),
tiene entrada con fecha 29/04/2019 en la Agencia Española de Protección de Datos.
La reclamación se dirige contra IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A.
OPERADORA UNIPERSONAL, con NIF A85850394 (en adelante, el reclamado). Los
motivos en que basa la reclamación son: que el 24/01/2019 la C.G.T (Confederación
General del Trabajo) solicitó a la empresa que siguiera una serie de pautas: creación y
notificación del preceptivo fichero y obligación de informar debidamente a los
trabajadores ante la recogida de las huellas dactilares de los agentes de servicios
auxiliares pera un nuevo sistema de fichaje que se implantaría en un futuro próximo. El
27/02/2019 Iberia contesta que se trata de un tratamiento lícito y adecuado, además
de medidas para un tratamiento seguro. No obstante, a día de la fecha no se ha
facilitado ningún documento a los trabajadores que registran su huella dactilar.
SEGUNDO: La Subdirección General de Inspección de Datos procedió al traslado de
la reclamación al reclamado para que informase de sobre los hechos y las medidas
tomadas, teniendo conocimiento de los siguientes extremos:
El 18/06/2019, fue trasladada al reclamado la reclamación presentada para el análisis
de la decisión adoptada al respecto. Igualmente, se le requería para que en el plazo de
un mes remitiera a la Agencia determinada información:
- Copia de las comunicaciones, de la decisión adoptada que haya remitido al
reclamante a propósito del traslado de esta reclamación, y acreditación de que
el reclamante ha recibido la comunicación de esa decisión.
- Informe sobre las causas que han motivado la incidencia que ha originado la
reclamación.
- Informe sobre las medidas adoptadas para evitar que se produzcan
incidencias similares.
- Cualquier otra que considere relevante, etc.
El 19/07/20196 el reclamado daba respuesta al requerimiento de información
contestando a las cuestiones planteadas y aportaba la siguiente documentación:
- Carta de la CGT de 24/01/2019.
- Respuesta de IBERIA de 29/01/2019.
- Carta de CGT de 18/03/2019.
- Análisis de Impacto en la privacidad sobre el tratamiento en cuestión.
- Comunicación a todos los empleados el 25/05/2018.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/12
- Política de privacidad para empleados de IBERIA.
- Capturas de pantalla de la Intranet y de la app para empleados de la
empresa.
Posteriormente, el 12/09/2019 se solicitó al reclamado que aportase el estudio de
Evaluación de Impacto; dando respuesta el siguiente día señalando que el citado
informe solo podía facilitarse en formato MS Excel, no habiendo sido aceptado como
válido en la sede electrónica, razón por la que procedió a presentarlo a través del
registro físico de la Agencia.
TERCERO: El 09/10/2019, de conformidad con el artículo 65 de la LOPDGDD, la
Directora de la Agencia Española de Protección de Datos acordó admitir a trámite la
reclamación presentada.
CUARTO: Con fecha 30/09/2020, la Directora de la Agencia Española de Protección
de Datos acordó iniciar procedimiento sancionador al reclamado, por la presunta
infracción del artículo 13 del RGPD, sancionada conforme a lo dispuesto en el artículo
58.2.b) del RGPD.
QUINTO: Notificado el acuerdo de inicio, el reclamado en fecha 15/10/2010 presento
escrito de alegaciones manifestando en síntesis lo siguiente: que se reiteraba en las
alegaciones formuladas en escrito de 19/07/2019 y manifestaba que se había
elaborado y comunicado al personal nota informativa sobre tratamiento biométrico
mediante sistemas de reconocimiento de huella dactilar o de reconocimiento facial
para control de accesos.
SEXTO: Con fecha 21/10/2020 se inició un período de práctica de pruebas,
acordándose las siguientes
- Dar por reproducidos a efectos probatorios la reclamación interpuesta por el
reclamante y su documentación, los documentos obtenidos y generados por los
Servicios de Inspección que forman parte del expediente E/05886/2019.
- Dar por reproducido a efectos probatorios, las alegaciones al acuerdo de
inicio presentadas por el reclamado y la documentación que a ellas acompaña.
SEPTIMO: El 26/02/2020 fue emitida Propuesta de Resolución en el sentido de que
por la Directora de la AEPD se sancionara al reclamado por infracción del artículo 13
del RGPD, tipificada en el artículo 83.5.a) del RGPD, con apercibimiento de
conformidad con el artículo 58.2.b) del RGPD.
Transcurrido el plazo legalmente señalado al tiempo de la presente Resolución el
reclamado no había presentado escrito de alegación alguno.
OCTAVO: De las actuaciones practicadas en el presente procedimiento, han quedado
acreditados los siguientes:
HECHOS PROBADOS
PRIMERO: La reclamante presento escrito de entrada con fecha 29/04/2019 en la
Agencia Española de Protección de Datos, manifestando que el 24/01/2019 C.G.T
( Confederación General del Trabajo) solicitó a la empresa información sobre la
implantación del sistema de acceso y que siguiera una serie de pautas sobre el
mismo: creación y modificación del preceptivo fichero y obligación de informar
debidamente a los trabajadores ante la recogida de las huellas dactilares de los
agentes de servicios auxiliares pera un nuevo sistema de fichaje que se implantará en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/12
un futuro próximo; el 27/02/2019 el reclamado señalaba que era un tratamiento lícito,
adecuado y seguro; sin que se haya facilitado documento alguno a los trabajadores
que registran su huella dactilar.
SEGUNDO: Consta aportada carta de CGT de 24/01/2019 manifestando su
disconformidad con las pautas seguidas por el reclamado ante la recogida de huellas
dactilares para la implantación de un nuestro sistema de fichaje en la empresa, sin que
en ningún momento se hubiera informado debidamente a los trabajadores ni de la
creación y notificación del preceptivo fichero.
TERCERO: Consta la respuesta del reclamado señalando que la sustitución de las
tarjetas magnéticas por el uso de la huella digital limitada exclusivamente a la zona de
rampa del aeropuerto y los trabajadores que allí trabajen implica un tratamiento licito
amparado en el interés público del reclamado, adecuado y seguro de los datos
personales sensibles involucrados; que el reclamado ya tiene informado este tipo de
tratamiento dentro de su política de privacidad disponible desde mayo de 2018 a
través de internet.
CUARTO: El 18/03/2019 CGT señalaba que la información dispuesta por la empresa
para informar a sus trabajadores era bastante escasa por lo que entendía que era
insuficiente a pesar de que se diga que responde al tratamiento adecuado y a las
necesidades del mismo.
QUINTO: El 13/09/2019 el reclamado aportó Evaluación de Impacto del tratamiento
llevado a cabo sobre el tratamiento de la huella dactilar para control de accesos.
SEXTO: El 15/10/2020 el reclamado ha aportado comunicación informativa
complementaria a los empleados Nota Informativa sobre los tratamientos de datos
biométricos mediante sistemas de reconocimiento de huella dactilar o de
reconocimiento facial para el control de accesos.
FUNDAMENTOS DE DERECHO
I
Es competente para resolver este procedimiento la Directora de la Agencia
Española de Protección de Datos, de conformidad con lo dispuesto en el art. 58.2 del
RGPD y en los art. 47 y 48.1 de LOPDGDD.
II
La legitimación para el tratamiento de la huella dactilar para el control de los
trabajadores por parte del empleador debemos buscarlo en el artículo 9 y 6 del RGPD.
El artículo 9 del RGPD establece en sus apartados 1 y 2.b) lo siguiente:
“1. Quedan prohibidos el tratamiento de datos personales que revelen el origen
étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la
afiliación sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a
identificar de manera unívoca a una persona física, datos relativos a la salud o datos
relativos a la vida sexual o las orientaciones sexuales de una persona física.
2. El apartado 1 no será de aplicación cuando concurra una de las
circunstancias siguientes:
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/12
b) el tratamiento es necesario para el cumplimiento de obligaciones y el
ejercicio de derechos específicos del responsable del tratamiento o del
interesado en el ámbito del Derecho laboral y de la seguridad y protección
social, en la medida en que así lo autorice el Derecho de la Unión de los
Estados miembros o un convenio colectivo con arreglo al Derecho de los
Estados miembros que establezca garantías adecuadas del respeto de los
derechos fundamentales y de los intereses del interesado.”
El artículo 6.1.b) del RGPD indica:
“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:
(…)
b) el tratamiento es necesario para la ejecución de un contrato en el que el
interesado es parte o para la aplicación a petición de este de medidas
precontractuales.”
El reclamado tiene legitimación, fundamentada en la normativa señalada, para
efectuar el control laboral de sus trabajadores y siempre que cumpla los requisitos
indicados en el Fundamento de Derecho quinto.
III
Los hechos que motivan la reclamación presentada y que son objeto del
presente procedimiento se materializan en la solicitud efectuada por el reclamante al
reclamado en relación con la implantación de un nuevo sistema de acceso y la
obligación de informar debidamente a los trabajadores.
Los hechos reclamados suponen la vulneración de lo señalado en el artículo 13
del RGPD, al no informar debidamente del tratamiento previsto en relación con el
control de fichaje por huella dactilar, de conformidad con lo pronunciamientos
establecidos en el citado artículo.
Este artículo determina la información que debe facilitarse al interesado en el
momento de la recogida de sus datos, estableciendo lo siguiente:
“Artículo 13. Información que deberá facilitarse cuando los datos personales se
obtengan del interesado.
1. Cuando se obtengan de un interesado datos personales relativos a él, el
responsable del tratamiento, en el momento en que estos se obtengan, le facilitará
toda la información indicada a continuación:
a) la identidad y los datos de contacto del responsable y, en su caso, de su
representante;
b) los datos de contacto del delegado de protección de datos, en su caso;
c) los fines del tratamiento a que se destinan los datos personales y la base
jurídica del tratamiento;
d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los
intereses legítimos del responsable o de un tercero;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/12
e) los destinatarios o las categorías de destinatarios de los datos personales,
en su caso;
f) en su caso, la intención del responsable de transferir datos personales a un
tercer país u organización internacional y la existencia o ausencia de una
decisión de adecuación de la Comisión, o, en el caso de las transferencias
indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo,
referencia a las garantías adecuadas o apropiadas y a los medios para obtener
una copia de estas o al hecho de que se hayan prestado.
2. Además de la información mencionada en el apartado 1, el responsable del
tratamiento facilitará al interesado, en el momento en que se obtengan los datos
personales, la siguiente información necesaria para garantizar un tratamiento de datos
leal y transparente:
a) el plazo durante el cual se conservarán los datos personales o, cuando no
sea posible, los criterios utilizados para determinar este plazo;
b) la existencia del derecho a solicitar al responsable del tratamiento el acceso
a los datos personales relativos al interesado, y su rectificación o supresión, o
la limitación de su tratamiento, o a oponerse al tratamiento, así como el
derecho a la portabilidad de los datos;
c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el
artículo 9, apartado 2, letra a), la existencia del derecho a retirar el
consentimiento en cualquier momento, sin que ello afecte a la licitud del
tratamiento basado en el consentimiento previo a su retirada;
d) el derecho a presentar una reclamación ante una autoridad de control;
e) si la comunicación de datos personales es un requisito legal o contractual, o
un requisito necesario para suscribir un contrato, y si el interesado está
obligado a facilitar los datos personales y está informado de las posibles
consecuencias de que no facilitar tales datos;
f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a
que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos,
información significativa sobre la lógica aplicada, así como la importancia y las
consecuencias previstas de dicho tratamiento para el interesado.
3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de
datos personales para un fin que no sea aquel para el que se recogieron,
proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información
sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2.
4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en
la medida en que el interesado ya disponga de la información”.
IV
En el presente caso, el reclamante manifiesta dirigirse por escrito al reclamado
solicitando que se informara debidamente a los trabajadores ante la recogida de
huellas dactilares de cara a la implantación de un nuevo sistema de control horario, sin
que se obtuviera respuesta alguna.
No obstante, de la documentación aportada al expediente consta la respuesta
ofrecida al reclamante, tal como consta en el antecedente segundo, manifestando que
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/12
la sustitución del sistema establecido por el uso de la huella digital limitada
exclusivamente a la zona de rampa del aeropuerto y de los trabajadores que allí
trabajaban implicaba un tratamiento licito, adecuado y seguro de los datos personales
sensibles involucrados y que había informado a través de su política de privacidad a
través de la intranet.
En relación con las cuestiones planteadas en el presente caso, en primer lugar
hay que señalar que la implantación de un sistema de control horario basado en la
huella dactilar por parte del empleador, ha de ser informado a los empleados de
manera completa, clara, concisa y, además, la citada información debe ser completada
con referencia tanto a las bases legales que den cobertura a dicho tipo de control de
acceso, como a la información básica a la que hace referencia en el artículo 13 del
RGPD.
En el caso examinado, aunque conta la respuesta del reclamado al escrito
presentado por el reclamante señalando que el sistema a implantar era seguro y
pertinente, tanto la información transmitida por el reclamado como el sistema
empleado para comunicar el sistema de acceso y control horario no es el más
adecuado dada la calidad y especialidad de los datos que se solicitaban, pudiendo
haber llevado a cabo un mayor esfuerzo en su política de información sobre el
tratamiento previsto, formulándolo de una manera mucho más detallada y completa,
así como dar respuesta a cierta casuística como los casos de trabajadores que se
negaran a proporcionar su huella.
No obstante, hay que señalar que la entidad en las alegaciones al acuerdo de
inicio del procedimiento aportó una comunicación complementaria destinada a los
empleados Nota Informativa sobre los tratamientos de datos biométricos mediante
sistemas de reconocimiento de huella dactilar o de reconocimiento facial para el
control de accesos, de conformidad con la normativa en materia de protección de
datos y, asimismo, consta acreditado la preceptiva evaluación de impacto relativa a la
protección de datos regulada en el artículo 35 del RGPD, aportando el documento
correspondiente.
En segundo lugar, habría que señalar que la instalación de un sistema de
control basado en la recogida y tratamiento de la huella dactilar de los empleados
implica el tratamiento de sus datos personales puesto que dato personal es toda
aquella información sobre una persona física identificada o identificable de
conformidad con el artículo 4.1 del RGPD.
En cuanto a la huella dactilar se trata, además, de datos que deben ser
calificados como datos biométricos y de acuerdo con el artículo 4.14 del RGPD tienen
esta consideración cuando han sido “obtenidos a partir de un tratamiento técnico
específico, relativos a las características físicas, fisiológicas o conductuales de una
persona física que permitan o confirmen la identificación única de dicha persona,
como imágenes faciales o datos dactiloscópicos”.
Esto hace que, de conformidad con el artículo 9.1 del RGPD, en el caso
presente, se les aplique el régimen específico previsto para las categorías especiales
de datos previsto en el artículo 9 del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/12
En este sentido, el considerando 51 del RGPD pone de manifiesto el carácter
restrictivo con el que se puede admitir el tratamiento de estos datos:
“(51) ... Tales datos personales no deben ser tratados, a menos que se permita
su tratamiento en situaciones específicas contempladas en el presente Reglamento,
habida cuenta de que los Estados miembros pueden establecer disposiciones
específicas sobre protección de datos con objeto de adaptar la aplicación de las
normas del presente Reglamento al cumplimiento de una obligación legal o al
cumplimiento de una misión realizada en interés público o en el ejercicio de poderes
públicos conferidos al responsable del tratamiento. Además de los requisitos
específicos de ese tratamiento, deben aplicarse los principios generales y otras
normas del presente Reglamento, sobre todo en lo que se refiere a las condiciones de
licitud del tratamiento. Se deben establecer de forma explícita excepciones a la
prohibición general de tratamiento de esas categorías especiales de datos personales,
entre otras cosas cuando el interesado dé su consentimiento explícito o tratándose de
necesidades específicas, en particular cuando el tratamiento sea realizado en el
marco de actividades legítimas por determinadas asociaciones o fundaciones cuyo
objetivo sea permitir el ejercicio de las liberta-des fundamentales.
Y el considerando 52 señala que
“(52) Asimismo deben autorizarse excepciones a la prohibición de tratar
categorías especiales de datos personales cuando lo establezca el Derecho de la
Unión o de los Estados miembros y siempre que se den las garantías apropiadas, a fin
de proteger datos personales y otros derechos fundamentales, cuando sea en interés
público, en particular el tratamiento de datos personales en el ámbito de la legislación
laboral, la legislación sobre protección social, incluidas las pensiones y con fines de
seguridad, supervisión y alerta sanitaria, la prevención o con-trol de enfermedades
transmisibles y otras amenazas graves para la salud… ”
De acuerdo con estas consideraciones el tratamiento de datos biométricos de
categorías especiales requerirá, además de la concurrencia de una de las bases
jurídicas establecidas en el artículo 6 del RGPD, alguna de las excepciones previstas
en el artículo 9.2 del RGPD.
El análisis de la base legal de legitimación para realizar este tratamiento viene
del artículo 6 del RGPD, relativo a la licitud del tratamiento, que en su apartado 1, letra
b) señala: “El tratamiento será lícito si se cumple al menos una de las siguientes
condiciones: (…) b) el tratamiento es necesario para la ejecución de un contrato en el
que el interesado es parte o para la aplicación a petición de éste de medidas
precontractuales (…)”.
En virtud de este precepto, el tratamiento sería lícito y no requeriría el
consentimiento, cuando el tratamiento de datos se realice para el cumplimiento de
relaciones contractuales de carácter laboral.
Por otra parte, y tal como pone de relieve el considerando 51 del mismo RGPD,
en la medida en que los datos biométricos son de categoría especial en los supuestos
de identificación biométrica (art. 9.1 RGPD), será necesario que concurra alguna de
las excepciones previstas en el artículo 9.2 del RGPD que permitirían levantar la
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/12
prohibición general del tratamiento de estos tipos de datos establecida en el artículo
9.1.
En este punto hay que hacer especial mención de la letra b) del artículo 9.2 del
RGPD, según la cual la prohibición general de tratamiento de datos biométricos no
será de aplicación cuando “el tratamiento es necesario para el cumplimiento de
obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o
del interesado en el ámbito del Derecho laboral y de la seguridad y protección social,
en la medida en que así lo autorice el Derecho de la Unión de los Estados miembros o
un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca
garantías adecuadas del respeto de los derechos fundamentales y de los intereses del
interesado”.
En el ordenamiento español, el artículo 20 del Texto refundido del Estatuto de
los trabajadores (TE), aprobado por el Real decreto legislativo 2/2015, de 23 de
octubre, prevé la posibilidad de que el empresario adopte medidas de vigilancia y
control para verificar el cumplimiento de las obligaciones laborales de sus
trabajadores:
“3. El empresario podrá adoptar las medidas que estime más oportunas de
vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones
y deberes laborales, guardando en su adopción y aplicación la consideración debida a
su dignidad y teniendo en cuenta, en su caso, la capacidad real de los trabajadores
con discapacidad”.
Es innegable la posibilidad de utilización de sistemas basados en datos
biométricos para llevar a cabo el control de acceso y horario, aunque tampoco parece
que sea o deba ser el único sistema que puede ser usado: así el uso de tarjetas
personales, la utilización de códigos personales, la visualización directa del punto de
marcaje, etc., que pueden constituir, por sí mismos o en combinación con alguno de
los otros sistemas disponibles, medidas igualmente eficaces para llevar a cabo el
control.
En cualquier caso, con carácter previo a la decisión sobre la puesta en marcha
de un sistema de control de este tipo y teniendo en cuenta sus implicaciones,
tratamiento de datos biométricos dirigidos a identificar de manera univoca a una
persona física, sería preceptivo llevar a cabo una evaluación de impacto relativa a la
protección de datos de carácter personal para evaluar tanto la legitimidad del
tratamiento y su proporcionalidad como la determinación de los riesgos existentes y
las medidas para mitigarlos de conformidad con lo señalado en el artículo 35 RGPD.
En el caso presente, hay que hacer constar que la entidad ha acreditado la
preceptiva evaluación de impacto relativa a la protección de datos regulada en el
artículo 35 del RGPD, aportando el documento correspondiente, puesto que el
13/09/2019 presentó el documento Evaluación de Impacto del tratamiento llevado a
cabo.
V
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/12
Por otra parte, los datos biométricos están estrechamente vinculados a una
persona, dado que pueden utilizar una determinada propiedad única de un individuo
para su identificación o autenticación.
Según el Dictamen 3/2012 sobre la evolución de las tecnologías biométricas,
“Los datos biométricos cambian irrevocablemente la relación entre el cuerpo y la
identidad, ya que hacen que las características del cuerpo humano sean legibles
mediante máquinas y estén sujetas a un uso posterior.”
En relación con ellos, el Dictamen precisa que cabe distinguir diversos tipos de
tratamientos al señalar que “Los datos biométricos pueden tratarse y almacenarse de
diferentes formas. A veces, la información biométrica capturada de una persona se
almacena y se trata en bruto, lo que permite reconocer la fuente de la que procede sin
conocimientos especiales; por ejemplo, la fotografía de una cara, la fotografía de una
huella dactilar o una grabación de voz. Otras veces, la información biométrica bruta
capturada es tratada de manera que solo se extraen ciertas características o rasgos y
se salvan como una plantilla biométrica.”
El tratamiento de estos datos está expresamente permitido por el RGPD
cuando el empresario cuenta con una base jurídica, que de ordinario es el propio
contrato de trabajo. A este respecto, la STS de 2 de julio de 2007 (Rec. 5017/2003),
que ha entendido legitimo el tratamiento de los datos biométricos que realiza la
Administración para el control horario de sus empleados públicos, sin que sea preciso
el consentimiento previo de los trabajadores.
Sin embargo, debe tenerse en cuenta lo siguiente:
O El trabajador debe ser informado sobre estos tratamientos.
O Deben respetarse los principios de limitación de la finalidad, necesidad,
proporcionalidad y minimización de datos.
En todo caso, el tratamiento también deberá ser adecuado, pertinente y no
excesivo en relación con dicha finalidad. Por tanto, los datos biométricos que no sean
necesarios para esa finalidad deben suprimirse y no siempre se justificará la creación
de una base de datos biométricos (Dictamen 3/2012 del Grupo de Trabajo del art. 29).
O Uso de plantillas biométricas: Los datos biométricos deberán almacenarse
como plantillas biométricas siempre que sea posible. La plantilla deberá extraerse de
una manera que sea específica para el sistema biométrico en cuestión y no utilizada
por otros responsables del tratamiento de sistemas similares a fin de garantizar que
una persona solo pueda ser identificada en los sistemas biométricos que cuenten con
una base jurídica para esta operación.
O El sistema biométrico utilizado y las medidas de seguridad elegidas deberán
asegurarse de que no es posible la reutilización de los datos biométricos en cuestión
para otra finalidad.
O Deberán utilizarse mecanismos basados en tecnologías de cifrado, a fin de
evitar la lectura, copia, modificación o supresión no autorizadas de datos biométricos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/12
O Los sistemas biométricos deberán diseñarse de modo que se pueda revocar
el vínculo de identidad.
O Deberá optarse por utilizar formatos de datos o tecnologías específicas que
imposibiliten la interconexión de bases de datos biométricos y la divulgación de datos
no comprobada.
O Los datos biométricos deben ser suprimidos cuando no se vinculen a la
finalidad que motivó su tratamiento y, si fuera posible, deben implementarse
mecanismos automatizados de supresión de datos.
VI
El artículo 83.5 b) del RGPD, considera que la infracción de “los derechos de
los interesados a tenor de los artículos 12 a 22”, es sancionable, de acuerdo con el
apartado 5 del mencionado artículo 83 del citado Reglamento, “con multas
administrativas de 20.000.000€ como máximo o, tratándose de una empresa, de una
cuantía equivalente al 4% como máximo del volumen de negocio total anual global del
ejercicio financiero anterior, optándose por la de mayor cuantía”.
La LOPDGDD en su artículo 71, Infracciones, señala que:
“Constituyen infracciones los actos y conductas a las que se refieren los
apartados 4, 5 y 6 del artículo 83 del Reglamento (UE) 2016/679, así como las que
resulten contrarias a la presente ley orgánica”.
La LOPDGDD en su artículo 72 indica a efectos de prescripción: “Infracciones
consideradas muy graves:
“1. En función de lo que establece el artículo 83.5 del Reglamento (UE)
2016/679 se consideran muy graves y prescribirán a los tres años las infracciones que
supongan una vulneración sustancial de los artículos mencionados en aquel y, en
particular, las siguientes:
(…)
h) La omisión del deber de informar al afectado acerca del tratamiento de sus
datos personales conforme a lo dispuesto en los artículos 13 y 14 del
Reglamento (UE) 2016/679 y 12 de esta ley orgánica.
(…)”
VII
El procedimiento sancionador que nos ocupa evidencia que en la instalación de
un nuevo sistema de control de asistencia mediante huella dactilar a implantar había
sido llevado a cabo sin informar debidamente con todas las garantías que se señalan
en la normativa de protección de datos, en concreto de conformidad con lo señalado
en el artículo 13 del RGPD, pudiendo haber incurrido en la vulneración del mismo.
Por tanto, la conducta del reclamado constituiría la vulneración de lo dispuesto
en el artículo 13 del RGPD.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/12
Por otra parte, el RGPD, sin perjuicio de lo establecido en su artículo 83,
contempla la posibilidad de acudir a la sanción de apercibimiento para corregir los
tratamientos de datos personales que no se adecúen a sus previsiones.
Asimismo, se contempla que la resolución que se dicte establecerá las medidas
que proceda adoptar para que cese la conducta, se corrijan los efectos de la infracción
que se hubiese cometido, la adecuación de la información ofrecida a los usuarios a las
exigencias contempladas en el artículo 13 del RGPD, así como la aportación de
medios acreditativos del cumplimiento de lo requerido.
Ahora bien, hay que señalar que en las alegaciones al acuerdo de inicio del
presente procedimiento el reclamado ha aportado copia de la comunicación realizada
a todos los trabajadores y que venía a complementar la información aportada con
anterioridad Nota Informativa sobre los tratamientos de datos biométricos mediante
sistemas de reconocimiento de huella dactilar o de reconocimiento facial para el
control de accesos, de conformidad con los señalado en el artículo 13 del RGPD, por
lo que no procede instar la adopción de medidas adicionales al haber quedado
acreditado que el reclamado ha adoptado medidas razonables y evitar que vuelvan a
producirse incidencias como la que dio lugar a la reclamación.
Por lo tanto, de acuerdo con la legislación aplicable y valorados los criterios de
graduación de las sanciones cuya existencia ha quedado acreditada,
La Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: IMPONER a IBERIA LÍNEAS AÉREAS DE ESPAÑA, S.A. OPERADORA,
con NIF A85850394, por una infracción del artículo 13 del RGPD, tipificada en el
artículo 83.5 del RGPD, una sanción de apercibimiento.
SEGUNDO: NOTIFICAR la presente resolución a IBERIA LÍNEAS AÉREAS DE
ESPAÑA, S.A. OPERADORA, con NIF A85850394.
De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la
presente Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art.
48.6 de la LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la
LPACAP, los interesados podrán interponer, potestativamente, recurso de reposición
ante la Directora de la Agencia Española de Protección de Datos en el plazo de un
mes a contar desde el día siguiente a la notificación de esta resolución o directamente
recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la
Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de
la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la
Jurisdicción Contencioso-administrativa, en el plazo de dos meses a contar desde el
día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la
referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la
LPACAP, se podrá suspender cautelarmente la resolución firme en vía administrativa
si el interesado manifiesta su intención de interponer recurso contencioso-
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/12
administrativo. De ser éste el caso, el interesado deberá comunicar formalmente este
hecho mediante escrito dirigido a la Agencia Española de Protección de Datos,
presentándolo a través del Registro Electrónico de la Agencia
[https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los restantes
registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre. También
deberá trasladar a la Agencia la documentación que acredite la interposición efectiva
del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el
día siguiente a la notificación de la presente resolución, daría por finalizada la
suspensión cautelar.
Mar España Martí
Directora de la Agencia Española de Protección de Datos
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es