1/12
Procedimiento Nº: PS/00129/2020
RESOLUCIÓN DE PROCEDIMIENTO SANCIONADOR
Del procedimiento instruido por la Agencia Española de Protección de Datos y en base a los
siguientes
ANTECEDENTES
PRIMERO: Las reclamaciones interpuestas por dos RECLAMANTES, véase ANEXO
GENERAL tienen entrada con fechas 10/04 y 13/05/2019, respectivamente, en la Agencia
Española de Protección de Datos. La reclamación se dirige contra AGENCIA ESTATAL DE
ADMINISTRACIÓN TRIBUTARIA, con CIF Q2826000H (en adelante, la reclamada). Los
motivos en que se basan las reclamaciones son que en la Delegación de la Agencia Estatal
de Administración Tributaria de ***LOCALIDAD.1, sita en la ***DIRECCIÓN.1 de
***LOCALIDAD.1, se tiene previsto instalar un sistema de acceso y control horario para
funcionarios y personal laboral basado en un sistema de huella digital.
Los reclamantes manifiestan que se “ha empezado a requerir la obtención de la firma a
través del correo electrónico”. Indican que se ha intentado, obtener información respecto de
la legalidad de la cesión de esos datos así como del correcto tratamiento de los mismos y
que los datos que el empleador pretende obtener constituyen datos especialmente
protegidos (datos biométricos). Tales datos se describen en el artículo 9.1 del Reglamento
(UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección
de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre
circulación de estos datos (en lo sucesivo, RGPD). El artículo 9.2.b del RGPD exceptúa a
esa prohibición de tratamiento si este es necesario para el cumplimiento de obligaciones y el
ejercicio de derechos específicos del responsable del tratamiento o del interesado en el
ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo
autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo con
arreglo al Derecho de los Estados miembros que establezca garantías adecuadas, no
existiendo la preceptiva evaluación de impacto a la protección de datos derivadas de dicho
tratamiento vulnerando lo previsto en el artículo 35 del Reglamento.
Consideran que la implantación del sistema no es proporcional y no se ajusta a la legalidad
prevista.
Reclamante 1, que manifiesta ser funcionario ( expediente E/5312/2019) aporta copia de un
correo electrónico “enviado a los funcionarios” de la reclamada, de 10/04/2019, titulado
“nuevo sistema de identificación mediante huella dactilar para control de accesos y horario
en la Delegación de ***LOCALIDAD.1”, en el que se informa:
- De la implantación del sistema y que se va a ir convocando a los empleados para la
toma de la huella. Figura la fecha en la que es convocado.
-El sistema de recogida registra “ciertas minucias de la huella, no la imagen de la misma”,
“no es posible reconstruir la huella a la que caracterizan”. “Esta información se guarda
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
2/12
encriptada”
-La AEAT es responsable del tratamiento, indicando que se aplica el articulo 9.2.1 b) como
excepción para el citado tratamiento al entender necesario para el cumplimiento de
obligaciones y ejercicio de derechos específicos del responsable o del interesado en el
ámbito del derecho laboral, en la medida en que así lo autorice el Derecho de la Unión o de
los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados
miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y
de los intereses del interesado;”, indicando que “no requerirá el consentimiento, cuando el
tratamiento de datos se realice para el cumplimiento de relaciones contractuales de carácter
laboral, “con independencia de si se trata de datos especialmente protegidos o no “A a partir
de la toma de la huella coma cada empleado deberá fichar en los tornos, indistintamente con
huella o DNI electrónico para la entrada o salida del centro de trabajo”
Se acompaña un documento ANEXO pdf: “fichero información torno” si bien no se refiere su
contenido por lo que no puede ser leído.
-También se agrega un escrito que se titula “nuevo sistema de identificación mediante
huella dactilar para control accesos y horarios en la delegación de ***LOCALIDAD.1”, que
contiene la información sobre cobertura jurídica así como “información básica sobre
protección de datos”, finalidad, base jurídica, responsable, derechos e información adicional
detallada haciendo clic en vinculo.
-Copia del documento de “Guía rápida de uso control de acceso de la AEAT” que
acompaña, y además de una explicación gráfica de la posición del dedo y presión en el
lector, figura que cuando se introduce la huella, “se está cotejando contra 1.000”, y “finaliza
cuando aparece en pantalla su nº de DNI”
Reclamante 2 ( expediente E/6247/2019), añade que el sistema del DNI electrónico de cada
trabajador se usa si se produce un error del mecanismo de la huella y que el sistema se está
implantado progresivamente en toda España, y que no se ha informado previamente a cada
trabajador de los fines y demás exigencias legales preceptivas para el tratamiento.
SEGUNDO: Tras la recepción de la reclamación, la Subdirección General de Inspección de
Datos procedió a realizar las siguientes actuaciones:
Las reclamaciones fueron trasladadas a la reclamada para su análisis y comunicación a los
reclamantes de la decisión adoptada al respecto. Igualmente, se le requería para que en el
plazo de un mes remitiera a la Agencia determinada información:
- Copia de las comunicaciones, de la decisión adoptada que haya remitido al
reclamante a propósito del traslado de esta reclamación, y acreditación de que el
reclamante ha recibido la comunicación de esa decisión.
- Informe sobre las causas que han motivado la incidencia que ha originado la
reclamación.
- Informe sobre las medidas adoptadas para evitar que se produzcan incidencias
similares.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
3/12
- Cualquier otra que considere relevante.
Para reclamante 2, se traslada reclamación y se reciben respuestas de 29/07 y 10/10/2019.
Se indica que los procesos responden a la necesidad de homogenizar los sistemas de
control de accesos y presencia del personal a los diversos edificios de la Agencia Tributaria
pues en unos hay tornos, mientras que en otros solamente hay dispositivos en pared para
fichar, considerando el sistema de registro de huella de más fácil utilización que el sistema
de lectores de banda magnética en tarjeta, que era un sistema más débil y generaba
muchas incidencias en la gestión del ciclo de vida de las tarjetas, incluida la gestión de la
pérdida borrado etcétera. Con un entorno de más de 26000 empleados y más de 400
edificios, el proyecto se inició en el 2016. Se seleccionó esta medida por una serie de
garantías como que solo se guardan unas minucias en el momento en que se registra la
huella. Las minucias se almacenan cifradas y se guardan en un sistema descentralizado
desde donde se distribuyen a los tornos de los edificios cuando los empleados están
autorizados expresamente a acceder. Cada empleado está autorizado para acceder a los
edificios concretos y en los tornos de estos se descargan las minucias cifradas para que
cada vez que el usuario quiera entrar o salir se puedan comparar con la huella que se pone
en el lector.
En junio del 2017 se abordó el inicio del despliegue de la solución. En una fase piloto se
efectuaron trabajos por el grupo de trabajo de adecuación al Reglamento General de
Protección de Datos, de la comisión de seguridad y control e informática tributaria, llegando
a la conclusión de su viabilidad y proporcionalidad sobre la base de la legitimación de la
Agencia Tributaria para realizar el control de acceso y horario de sus empleados.
Cuando entró en vigor el RGPD ya se contemplaba la existencia del dato biométrico en el
fichero de personal y en el registro de actividades de tratamiento.
La implantación se realizará paulatinamente en todos los edificios de la Agencia Tributaria.
No tiene fecha de finalización.
Se distribuyó información e instrucciones a las oficinas donde se iba a iniciar la implantación
del sistema para su distribución entre los empleados con la información del sistema y las
garantías de cada convocatoria del empleado para que pasase por personal a realizar el
registro de las huellas antes de iniciar la integración las oficinas que lo han considerado
oportuno. Han distribuido esta información de forma personalizada enviando un correo
electrónico a cada empleado. En ANEXO 1 adjunta en evidencia de correo corporativo con
la información facilitada a empleados utilizado en la delegación especial de
***LOCALIDAD.1.
En cuanto a las cuestiones planteadas:
-Consideran que la información proporcionada a los empleados de las oficinas es completa
clara y concisa. Se recogen las bases legales sobre las que se realiza el control de acceso y
se explican las garantías y se facilita la información básica que requiere el reglamento.
Se ofreció un enlace de la intranet de la Agencia Tributaria y se accede a más información
detallada. Se puede consultar el registro de actividades de tratamiento
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
4/12
No consta la solicitud de ampliación de información sobre el sistema en el buzón de contacto
de consultas realizadas al Delegado de Protección de Datos
-En cuanto a la consideración de excesivo el tratamiento cuando existen otras alternativas
incide en que también se informa a los empleados de que no se almacenan las huellas
dactilares sino solo unas minucias o trazas que se contrastan en el momento de realizar el
control de acceso. A partir de esas minucias no es posible reconstruir la huella completa y
estas minucias se almacenan cifradas.
Aporta copia de ANEXO I que contiene el mismo correo electrónico aportado por reclamante
1, de 10/04/2019 y los adjuntos anexos.
En ANEXO II, el contenido informativo del acceso al enlace ofrecido en la información.
Aporta ANEXO III, copia de modelo convocatoria a registro de huella -que coincide con el
aportado por Reclamante 1, “información básica sobre sobre protección de datos”, finalidad,
base jurídica, responsable, derechos e información adicional detallada haciendo clic en
vinculo se completa la información – informando entre otros extremos:
“Como alternativa a la identificación mediante los lectores de huella dactilar, para los casos
en que se planteen problemas técnicos de reconocimiento, el nuevo sistema permitirá
también la identificación mediante DNI electrónico. En este caso la identificación se basa en
la lectura de la parte pública de este certificado, que permite consultar los datos básicos de
identificación (número del DNI, nombre y apellidos), sin necesidad de que el trabajador
proporcione el PIN que protege el uso de los certificados para finalidades de autentificación
en servicios electrónicos o procesos de firma, ni se accederá a los datos que pueda tener
archivado el chip del DNI. En este caso la cobertura jurídica del tratamiento de datos se
basa en el artículo 6.1.b) del Reglamento (UE) 2016/679.”
En ANEXO II, el resultante del acceso al enlace ofrecido en la información básica sobre
protección de datos, que informa en general sobre el tratamiento de datos de los empleados
públicos para el cumplimiento de obligaciones legales en materia de personal, incluyéndose
entre otros los datos de control horario.
En el segundo envío remite copia de la EIPD.
El 2/07 y el 9/09/2019 la reclamada responde a reclamación 1.
Aporta copia de EIPD Huella dactilar
En escrito de respuesta a las cuestiones planteadas por la AEPD indica que reclamante 1
es trabajador de la AEAT y responde las cuestiones con los mismos argumentos que para
reclamante 2.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
5/12
TERCERO: El 23/09 y 25/11/2019, de conformidad con el artículo 65 de la LOPDGDD, la
Directora de la Agencia Española de Protección de Datos acordó admitir a trámite las
reclamaciones presentadas.
CUARTO: Con fecha 30/09/2020 la Directora de la AEPD acordó :
“INICIAR PROCEDIMIENTO SANCIONADOR a AGENCIA ESTATAL DE ADMINISTRACIÓN
TRIBUTARIA, con CIF Q2826000H, por la presunta infracción del artículo 13 del RGPD,
contemplada en el artículo 83.5.b) del citado Reglamento.
A los efectos previstos en el art. 64.2 b) de la ley 39/2015, de 1 de octubre, del
Procedimiento Administrativo Común de las Administraciones Públicas, la sanción que
pudiera corresponder sería de Apercibimiento”.
QUINTO: La reclamada con fecha 15/10/2019 presenta las siguientes alegaciones:
Reclamante 2 no es empleado de la Agencia Tributaria y respecto a reclamante 1, el
26/04/2019 se le remitió, como a otros, en su misma situación, correo electrónico
convocándole para el registro de las minucias de su huella dactilar.
Adjuntan copia de dicho correo en el que se le informa del funcionamiento del sistema,
responsable la Agencia Tributaria, de la base legitimadora y del sistema indistinto de la
huella o el DNI electrónico para la entrada y salida del centro de trabajo y se le convoca para
realizar la toma de la huella dactilar el 3/05.
Se adjuntaba además un documento denominado “fichero de información tornos”, con un
contenido informativo sobre el sistema de la huella dactilar en el que, además, se contiene
información básica sobre Protección de Datos, con el responsable, la finalidad, la base
jurídica de los tratamientos, los destinatarios y una información adicional y detallada con un
enlace. Este correo electrónico, además lo recibió el reclamante 1 constando incluso acuse
de recibo de 26/04/2019.
-Añade que sobre la infracción del artículo 13, que concreta el principio de transparencia del
artículo 5.1 a del RGPD, consideran que los datos han sido obtenidos directamente del
interesado y se le ha informado con información básica y con un enlace para acceder de
forma sencilla inmediata a la restante información. La información se contiene sobradamente
en el documento en el que se convoca a cada empleado para tomar sus datos biométricos
pues se refiere que el responsable es la Agencia Tributaria se indica también la finalidad del
tratamiento y la posibilidad de ejercer los derechos por lo tanto se estima que se cumplen
los requisitos.
Aporta de nuevo copia de la EIP de huella dactilar.
Como ANEXO 2, la información que figura pinchando el enlace que aparece en los correos
electrónicos de información y comunicación a los empleados y que proporciona y amplía la
información de los tratamientos relacionados con la gestión de recursos humanos.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
6/12
Aporta modelo convocatoria registro huella, en el que se contiene el apartado de información
básica sobre Protección de Datos y el enlace que amplía los detalles y la información
adicional.
En ANEXO 4 aporta convocatoria 26/04/2020 nuevo sistema de identificación mediante
huella dactilar.
Se trata de un correo enviado el 26/04/2019 a personal de la Agencia Tributaria, figurando
entre otros el reclamante 1. Nuevamente, el correo electrónico contiene información sobre el
sistema, la base legitimadora y el sistema alternativo indistinto del DNI electrónico y el
fichero pdf denominado “fichero información torno” del que se aporta copia para su lectura.
El documento coincide con el relato informativo del sistema, y que contiene el apartado de
información básica sobre Protección de Datos y el enlace a la información adicional y
detallada sobre la Protección de Datos, así como un esquema gráfico denominado “guía
rápida de uso de control de acceso”.
También aporta copia del acuse de recibo 26/04/2019 del correo electrónico enviado al
reclamante 1.
SEXTO: Con fecha 22/04/2021 se acuerda por la Directora de la AEPD cambio de
instructor.
SÉPTIMO: Se emitió propuesta de resolución con el siguiente literal:
“Que por la Directora de la Agencia Española de Protección de Datos se declare el
ARCHIVO del procedimiento por inexistencia de infracción de la AGENCIA ESTATAL DE
ADMINISTRACIÓN TRIBUTARIA, con CIF Q2826000H, por la presunta infracción del
artículo 13 del RGPD, de acuerdo con el artículo 83.5 b) del RGPD.”
Frente a la propuesta no se recibieron alegaciones.
HECHOS PROBADOS
1- En la Delegación de la Agencia Estatal de Administración Tributaria de ***LOCALIDAD.1,
***DIRECCIÓN.1 de ***LOCALIDAD.1, se tiene previsto instalar un sistema de acceso ,
control y registro horario para funcionarios y personal laboral basado en un sistema de
huella digital. Paulatinamente, el sistema se está implantado en toda España,
2-Se acredita que la reclamada remite un correo electrónico a los empleados, siendo
reclamante 1 funcionario, el 10/04/2019, titulado “nuevo sistema de identificación mediante
huella dactilar para control de accesos y horario en la Delegación de ***LOCALIDAD.1”,
(modelo convocatoria registro huella) en el que se informa:
- De la implantación del sistema del que es responsable del tratamiento, y de la próxima
citación a cada empleado para la toma de la huella.
-El sistema de recogida registra “ciertas minucias de la huella, no la imagen de la misma”,
“no es posible reconstruir la huella a la que caracterizan” y la “información se guarda
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
7/12
encriptada”
-La AEAT, indica que se aplica el articulo 9.2.1 b) como excepción para el citado
tratamiento al entender necesario para el cumplimiento de obligaciones y ejercicio de
derechos específicos del responsable o del interesado en el ámbito del derecho laboral.
Se acompaña con el correo electrónico:
-Un documento ANEXO pdf: “fichero información torno” que se titula “nuevo sistema de
identificación mediante huella dactilar para control accesos y horarios en la delegación de
***LOCALIDAD.1”, que contiene la información sobre cobertura jurídica así como
“información básica sobre protección de datos”, finalidad, base jurídica, responsable,
derechos e información adicional detallada. Figura además la referencia a un enlace en el
que haciendo clic en vinculo se añade información.
El documento “Guía rápida de uso control de acceso de la AEAT” con una explicación
gráfica de la posición del dedo y presión en el lector, figurando que cuando se introduce la
huella, “se está cotejando contra 1.000”, y “finaliza cuando aparece en pantalla su nº de
DNI”.
3- La reclamada dispone de documento de evaluación de impacto de protección de datos
sobre el sistema de recogida, registro de huella dactilar para la finalidad de registro y control
horario.
4-La reclamada aporta copia del mismo contenido del correo que aportó reclamante 1, si
bien este envío prevé otra fecha de convocatoria a recogida de huella y se ve su nombre y
apellidos como destinatario, siendo enviado el 26/04/2020.
FUNDAMENTOS DE DERECHO
I
En virtud de los poderes que el artículo 58.2 del RGPD reconoce a cada autoridad de
control, y según lo establecido en los arts. 47 y 48.1 de la LOPDGDD, la Directora de la
Agencia Española de Protección de Datos es competente para resolver este procedimiento.
II
Los datos biométricos están estrechamente vinculados a una persona, dado que pueden
utilizar una determinada propiedad única de un individuo para su identificación o
autenticación.
Según el Dictamen 3/2012 sobre la evolución de las tecnologías biométricas, “Los datos
biométricos cambian irrevocablemente la relación entre el cuerpo y la identidad, ya que
hacen que las características del cuerpo humano sean legibles mediante máquinas y estén
sujetas a un uso posterior.”
En relación con ellos, el Dictamen precisa que cabe distinguir diversos tipos de tratamientos
al señalar que “Los datos biométricos pueden tratarse y almacenarse de diferentes formas.
A veces, la información biométrica capturada de una persona se almacena y se trata en
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
8/12
bruto, lo que permite reconocer la fuente de la que procede sin conocimientos especiales;
por ejemplo, la fotografía de una cara, la fotografía de una huella dactilar o una grabación de
voz. Otras veces, la información biométrica bruta capturada es tratada de manera que solo
se extraen ciertas características o rasgos y se salvan como una plantilla biométrica.”
El tratamiento de estos datos está expresamente permitido por el RGPD cuando el
empresario cuenta con una base jurídica, que de ordinario es el propio contrato de trabajo. A
este respecto, la STS de 2 de julio de 2007 (Rec. 5017/2003), que ha entendido legitimo el
tratamiento de los datos biométricos que realiza la Administración para el control horario de
sus empleados públicos, sin que sea preciso el consentimiento previo de los trabajadores.
Sin embargo, debe tenerse en cuenta lo siguiente:
- El trabajador debe ser informado sobre estos tratamientos.
- Deben respetarse los principios de limitación de la finalidad, necesidad,
proporcionalidad y minimización de datos.
En todo caso, el tratamiento también deberá ser adecuado, pertinente y no excesivo en
relación con dicha finalidad. Por tanto, los datos biométricos que no sean necesarios para
esa finalidad deben suprimirse y no siempre se justificará la creación de una base de datos
biométricos (Dictamen 3/2012 del Grupo de Trabajo del art. 29).
- Uso de plantillas biométricas: Los datos biométricos deberán almacenarse como
plantillas biométricas siempre que sea posible. La plantilla deberá extraerse de una manera
que sea específica para el sistema biométrico en cuestión y no utilizada por otros
responsables del tratamiento de sistemas similares a fin de garantizar que una persona solo
pueda ser identificada en los sistemas biométricos que cuenten con una base jurídica para
esta operación.
- El sistema biométrico utilizado y las medidas de seguridad elegidas deberán
asegurarse de que no es posible la reutilización de los datos biométricos en cuestión para
otra finalidad.
- Deberán utilizarse mecanismos basados en tecnologías de cifrado, a fin de evitar la
lectura, copia, modificación o supresión no autorizadas de datos biométricos.
- Los sistemas biométricos deberán diseñarse de modo que se pueda revocar el
vínculo de identidad.
- Deberá optarse por utilizar formatos de datos o tecnologías específicas que
imposibiliten la interconexión de bases de datos biométricos y la divulgación de datos no
comprobada.
- Los datos biométricos deben ser suprimidos cuando no se vinculen a la finalidad
que motivó su tratamiento y, si fuera posible, deben implementarse mecanismos
automatizados de supresión de datos.
III
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
9/12
La legitimación para el tratamiento de la huella dactilar para el control de los trabajadores
por parte del empleador debemos buscarlo en el artículo 9 y 6 del RGPD.
El artículo 9 del RGPD establece en sus apartados 1 y 2.b) lo siguiente:
“1. Quedan prohibidos el tratamiento de datos personales que revelen el origen
étnico o racial, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación
sindical, y el tratamiento de datos genéticos, datos biométricos dirigidos a identificar de
manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida
sexual o las orientaciones sexuales de una persona física.
2. El apartado 1 no será de aplicación cuando concurra una de las circunstancias
siguientes:
… b) el tratamiento es necesario para el cumplimiento de obligaciones y el ejercicio de
derechos específicos del responsable del tratamiento o del interesado en el ámbito del
Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el
Derecho de la Unión de los Estados miembros o un convenio colectivo con arreglo al
Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los
derechos fundamentales y de los intereses del interesado.”
El artículo 6.1.b) del RGPD indica:
“1. El tratamiento solo será lícito si se cumple al menos una de las siguientes
condiciones:
b) el tratamiento es necesario para la ejecución de un contrato en el que el
interesado es parte o para la aplicación a petición de este de medidas precontractuales.”
La reclamada tiene legitimación, fundamentada en la normativa señalada, para efectuar el
control laboral de sus trabajadores, siempre que cumpla los requisitos indicados en el
Fundamento de Derecho segundo.
La infracción imputada en el acuerdo de inicio del artículo 13 del RGPD, era por no informar
con todas las garantías del tratamiento previsto, adopción del mecanismo para el control de
horario a los empleados mediante huella digital.
En este artículo se determina la información que debe facilitarse al interesado en el
momento de la recogida de sus datos, estableciendo lo siguiente:
“Artículo 13. Información que deberá facilitarse cuando los datos personales se obtengan
del interesado.
1. Cuando se obtengan de un interesado datos personales relativos a él, el
responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la
información indicada a continuación:
a) la identidad y los datos de contacto del responsable y, en su caso, de su
representante;
b) los datos de contacto del delegado de protección de datos, en su caso;
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
10/12
c) los fines del tratamiento a que se destinan los datos personales y la base jurídica
del tratamiento; 4.5.2016 L 119/40 Diario Oficial de la Unión Europea ES
d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses
legítimos del responsable o de un tercero;
e) los destinatarios o las categorías de destinatarios de los datos personales, en su
caso;
f) en su caso, la intención del responsable de transferir datos personales a un tercer
país u organización internacional y la existencia o ausencia de una decisión de
adecuación de la Comisión, o, en el caso de las transferencias indicadas en los
artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las
garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o
al hecho de que se hayan prestado.
2. Además de la información mencionada en el apartado 1, el responsable del
tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales,
la siguiente información necesaria para garantizar un tratamiento de datos leal y
transparente:
a) el plazo durante el cual se conservarán los datos personales o, cuando no sea
posible, los criterios utilizados para determinar este plazo;
b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los
datos personales relativos al interesado, y su rectificación o supresión, o la limitación
de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad
de los datos;
c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el
artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en
cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el
consentimiento previo a su retirada;
d) el derecho a presentar una reclamación ante una autoridad de control;
e) si la comunicación de datos personales es un requisito legal o contractual, o un
requisito necesario para suscribir un contrato, y si el interesado está obligado a
facilitar los datos personales y está informado de las posibles consecuencias de que
no facilitar tales datos;
f) la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que
se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información
significativa sobre la lógica aplicada, así como la importancia y las consecuencias
previstas de dicho tratamiento para el interesado.
3. Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos
personales para un fin que no sea aquel para el que se recogieron, proporcionará al
interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y
cualquier información adicional pertinente a tenor del apartado 2.
4. Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la
medida en que el interesado ya disponga de la información”.
En cuanto a la infracción imputada de falta de información, queda acreditado no solo que se
ha dado, sino que la que se lo ha sido antes de la recogida de los datos, y se estima
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
11/12
suficiente, adecuada y amplia. Se da sentido y explica en que consiste el registro de la
huella, sus fines, y de modo gráfico el funcionamiento del sistema.
Si bien parte de las reclamaciones, ambas aluden a que no había obtenido información
adicional, se debe indicar que la información proporcionada así como los enlaces añadidos
son adecuados y no suponen merma de derechos de los afectados. Se ha ofrecido la
información que contempla el RGPD y la LOPDGDD, advirtiendo que la reclamada ha ido
preparando la aplicación paulatina de las medidas con las adaptaciones organizativas y
técnicas que implican el despliegue del sistema, por lo que el procedimiento debe ser
archivado al no existir infracción.
Por lo tanto, de acuerdo con la legislación aplicable,
la Directora de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: DECLARAR el ARCHIVO del procedimiento por inexistencia de infracción del
artículo 13 del RGPD de la AGENCIA ESTATAL DE ADMINISTRACIÓN TRIBUTARIA, con
CIF Q2826000H.
SEGUNDO: NOTIFICAR la presente resolución a AGENCIA ESTATAL DE
ADMINISTRACIÓN TRIBUTARIA con el envío del Anexo General adjunto.
TERCERO: De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la
presente Resolución se hará pública una vez haya sido notificada a los interesados.
Contra esta resolución, que pone fin a la vía administrativa conforme al art. 48.6 de la
LOPDGDD, y de acuerdo con lo establecido en el artículo 123 de la LPACAP, los
interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de
la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día
siguiente a la notificación de esta resolución o directamente recurso contencioso
administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con
arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta
de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-administrativa,
en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto,
según lo previsto en el artículo 46.1 de la referida Ley.
Finalmente, se señala que conforme a lo previsto en el art. 90.3 a) de la LPACAP, se podrá
suspender cautelarmente la resolución firme en vía administrativa si el interesado manifiesta
su intención de interponer recurso contencioso-administrativo. De ser éste el caso, el
interesado deberá comunicar formalmente este hecho mediante escrito dirigido a la Agencia
Española de Protección de Datos, presentándolo a través del Registro Electrónico de la
Agencia [https://sedeagpd.gob.es/sede-electronica-web/], o a través de alguno de los
restantes registros previstos en el art. 16.4 de la citada Ley 39/2015, de 1 de octubre.
También deberá trasladar a la Agencia la documentación que acredite la interposición
efectiva del recurso contencioso-administrativo. Si la Agencia no tuviese conocimiento de la
interposición del recurso contencioso-administrativo en el plazo de dos meses desde el día
siguiente a la notificación de la presente resolución, daría por finalizada la suspensión
cautelar.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es
12/12
938-131120
Mar España Martí
Directora de la Agencia Española de Protección de Datos
ANEXO GENERAL
RECLAMANTE 1- D. A.A.A.
RECLAMANTE 2- D.B.B.B.
C/ Jorge Juan, 6 www.aepd.es
28001 – Madrid sedeagpd.gob.es