Source: http://docplayer.es/7271856-Antecedentes-consideraciones.html
Timestamp: 2018-02-20 22:27:57+00:00

Document:
ANTECEDENTES CONSIDERACIONES - PDF
Download "ANTECEDENTES CONSIDERACIONES"
José Ángel Joaquín Ríos Lara
1 CN DICTAMEN QUE SE EMITE EN RELACION CON LA CONSULTA FORMULADA POR XXXXX RESPECTO A LA ADECUACION A LA NORMATIVA DE PROTECCION DE DATOS DE LA IMPLANTACION EN UNA ADMINISTRACION PUBLICA VASCA DE UN SISTEMA INFORMATICO DE CONTROL HORARIO CONECTADO DIRECTAMENTE AL CONTROL DE ACCESOS Y SALIDAS. ANTECEDENTES PRIMERO. Con fecha 9 de diciembre de 2010 tuvo entrada en la Agencia Vasca de Protección de Datos solicitud de informe remitida por D XXXXX en el que se solicita respuesta a múltiples preguntas relacionadas con la cuestión recogida en el encabezamiento. SEGUNDO. Con fecha 12 de enero de 2011 se recibe en la Agencia Vasca de Protección de Datos nuevo escrito presentado por XXXXX, al que acompaña copia en inglés y francés de un Dictamen del Supervisor Europeo de Protección de Datos de fecha 12 de noviembre de 2009 relacionado con el supuesto sometido a consulta. Corresponde a esta Agencia Vasca de Protección de Datos, en virtud de la normativa más arriba citada, la emisión del informe en respuesta a la consulta formulada. CONSIDERACIONES I Antes de comenzar el análisis de la cuestión objeto de consulta es necesario reflejar una consideración previa: desconocemos la Administración Pública Vasca a que se refiere el consultante en su escrito, lo cual impone necesariamente muchas limitaciones a la Agencia a la hora de elaborar el dictamen, ya que no es posible identificar los ficheros concretos a los que se refiere ni por tanto examinar las características, finalidades, responsables, etc.
2 Por otro lado, en el escrito se ponen en conocimiento de la Agencia Vasca de Protección de Datos supuestas infracciones sin identificar igualmente a la Administración infractora, como cuando expresa que la Administración Pública Vasca creó la aplicación específica de control horario sin dictar disposición general ni publicarla en el Boletín Oficial correspondiente, lo que impide dar al escrito naturaleza de denuncia o entrar al fondo de la cuestión. No obstante, con el ánimo de colaborar y tratar de clarificar al consultante determinados aspectos de la normativa en materia de protección de datos, trataremos de recoger en el presente dictamen las cuestiones generales que la consulta plantea. Como decimos, centraremos nuestro análisis en la adecuación del tratamiento de datos citado al ámbito que nos es propio, la protección de datos de carácter personal, sin que esta Institución pueda ni deba pronunciarse sobre posibles conculcaciones de otros derechos a las alude el consultante en muchas de las cuestiones planteadas. Como objeto de la petición se establece: escrito de consulta en relación con la implantación de un sistema informático de control horario conectado directamente al control de accesos y salidas en determinados centros de trabajo de una Administración Pública Vasca El sistema de control horario al que se alude en el escrito presentado, tal y como señala el consultante, supone un tratamiento de datos sin consentimiento de los afectados, al existir la obligación de fichar con tarjetas magnéticas personales en los relojes de fichaje instalados, hallándose el sistema informático de control horario conectado con el control de accesos y salidas del centro de trabajo. A este respecto hemos de recordar que por tratamiento de datos se entiende en el artículo 3 c) de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal, en adelante LOPD, las operaciones y procedimientos técnicos de carácter automatizado o no, que permitan la recogida, grabación, conservación elaboración, modificación, bloqueo y cancelación, así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias. Una vez expresado el concepto de tratamiento, hemos de señalar que la LOPD en su artículo 6.1 establece: El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la ley disponga otra cosa. En el apartado 2 del mismo artículo se establece como excepción a la regla general No será preciso el consentimiento cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias; cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento; El tratamiento realizado por un sistema de control horario de una Administración Pública, y más concretamente el realizado a través de una tarjeta magnética, en 2
3 principio, está excluido de la necesidad de consentimiento, al tratarse de una recogida de datos referida a las partes de un contrato, necesaria para el cumplimiento de una relación administrativa, y más de una relación de sujeción especial como es la funcionarial. Conviene en este punto traer al caso la Sentencia de 2 de julio de 2007 de la Sala de lo Contencioso-Administrativo del Tribunal Supremo, que al enjuiciar en un recurso de casación la legalidad de un sistema de control horario basado en la lectura de la huella dactilar implantado en la Administración de la Comunidad Autónoma de Cantabria establece en su Fundamento Jurídico Séptimo lo siguiente: El tercer motivo sostiene la infracción del artículo 18 de la Constitución en relación con la Ley Orgánica 15/1999. Al respecto debemos precisar cuál es el derecho fundamental al que, en realidad, se refieren los recurrentes. Se trata y conviene decirlo, porque ni en la Sentencia, ni en los escritos de las partes se advierte, que es el denominado por el Tribunal Constitucional, en su Sentencia nº 290, de 30 de noviembre de 2000, como derecho fundamental a la protección de datos de carácter personal y que extrae de la interpretación del apartado 4 del artículo 18 de la Constitución. Pues bien, se trata de ver si ese derecho, afirmado como una categoría distinta del derecho a la vida privada por la Carta de los Derechos Fundamentales de la Unión Europea, así como por el Tratado por el que se establece una Constitución para Europa --que, además, lo concibe como un elemento de la vida democrática-- ha sido infringido por la Sentencia de instancia. Es cierto que el Gobierno de Cantabria se esfuerza en subrayar que el algoritmo informatizado no sirve por sí mismo como elemento de identificación de personas. Desde esa perspectiva, es como si pretendiera negar que se tratase de un dato de carácter personal. No obstante, de acuerdo con el artículo 3 a) de la Ley Orgánica 15/1999, por dato de carácter personal ha de entenderse "cualquier información concerniente a personas físicas identificadas o identificables". Por tanto, en la medida en que el registro en cuestión se integra en un fichero que incluye nombre y apellidos y Documento Nacional de Identidad y, por tanto, es susceptible de identificar a personas, cae bajo las previsiones de ésta la Ley Orgánica. Sucede, sin embargo, que no se ha puesto de manifiesto que el sistema implantado por las resoluciones impugnadas en la instancia incurriera en infracciones a la misma y, por tanto, vulnerara el derecho fundamental a la protección de datos de carácter personal. Desde luego, la finalidad perseguida mediante su utilización es plenamente legítima: el control del cumplimiento del horario de trabajo al que vienen obligados los empleados públicos. Y, en tanto esa obligación es inherente a la relación que une a estos con la Administración Autonómica, no es necesario obtener previamente su consentimiento ya que el artículo 6.2 de la Ley Orgánica 15/1999lo excluye en estos casos. Además, no parece que la toma, en las condiciones expuestas, de una imagen de la mano incumpla las exigencias de su artículo 4.1. Por el contrario, puede considerarse adecuada, pertinente y no excesiva. 3
4 De acuerdo con el pronunciamiento jurisprudencial citado, al sistema en cuestión no le es aplicable la exigencia del consentimiento, a tenor de lo dispuesto en el artículo 6.2 de la LOPD. Por otro lado, también declara conforme el sistema con otro principio troncal de la protección de datos como es el principio de calidad. Otra de las cuestiones planteadas por el consultante es que la aplicación informática de control horario genera decisiones individuales automatizadas que evalúan la personalidad de los funcionarios Desconocemos cuáles son los datos concretos que se recogen a través del sistema de control horario, que en principio serán los incorporados a las tarjetas magnéticas personales de fichaje; con carácter general, estos datos suelen ser meramente identificadores y por tanto, no susceptibles de generar un perfil personal de su titular. Así lo ha entendido también el Tribunal Supremo, cuando, en la sentencia antes citada establece que el sistema de fichaje cumple las exigencias del artículo 4.1 de la LOPD. Por otro lado, en cuanto a la queja relativa a la conexión del sistema de control horario a los dispositivos de accesos y salidas en centros de trabajo, simplemente reseñar que este hecho no implica por sí mismo la vulneración de la normativa en materia de protección de datos. Así, la sentencia antes citada, señala en su Fundamento Jurídico 7ª lo siguiente: En todo caso, lo que en el último motivo mantienen los recurrentes es que la existencia de otros procedimientos de control del horario hace innecesario el escogido, al que, de paso, vienen a reprochar una suerte de exceso respecto de la utilización para la que se le ha destinado, al tiempo que denuncian la falta de justificación del cambio que implica. Sin embargo, esa justificación existe y no hay norma que prohiba el recurso a la tecnología escogida para realizar el control del cumplimiento del horario de trabajo. Su novedad o complejidad no la convierten en lesiva de los derechos fundamentales invocados. Y el posible desequilibrio que pudiera existir entre el uso de la biometría y ese control no es cuestión a dirimir jurisdiccionalmente en este proceso. También como apoyo de lo señalado puede citarse el comentario que sobre esta sentencia realiza la Agencia de Protección de Datos de Madrid: Para el análisis del juicio de proporcionalidad y siguiendo la sentencia del Tribunal Superior de Justicia de Cantabria -Sala de lo Contencioso Administrativo- de fecha 21 de febrero de 2003 en el que se examina un supuesto similar al presente, como es el control horario de los funcionarios de la Diputación a través del tratamiento del contorno de la mano, se considera por el TSJ que el nuevo sistema de control que se pretende instaurar ha de entenderse que resulta idóneo para conseguir el objetivo propuesto, objetivo que no es otro que el de lograr un mayor nivel de eficacia en la Administración pública, eficacia que pasa por un control efectivo del cumplimiento de sus obligaciones por parte de los empleados públicos, obligaciones que se inician en el momento del puntual acceso a sus puestos de trabajo y en una estricta observancia de la jornada laboral. La existencia de otros posibles sistemas igualmente idóneos para conseguir la referida finalidad, no convierte el 4
5 sistema enjuiciado en ilegal, siendo legítimo que la Administración opte, dentro de la legalidad, por aquel sistema que considere más conveniente. Respecto del juicio de estricta necesidad viene a considerar el TSJ que, aún existiendo otros sistemas, hay dos realidades que no pueden negarse, de un lado la lógica posibilidad de incorporación a la Administración pública de las nuevas tecnologías como método de control y, de otra, el notorio carácter imperfecto de los sistemas de control más comúnmente usados, tanto el sistema de firma, por su posible manipulación, como el sistema de reloj y ficha, por no impedir la sustituibilidad en su cumplimiento. Por último, el TSJ considera que la implantación del sistema puede reportar más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto, máxime cuando nos encontramos ante la imposición de una obligación a un colectivo vinculado a la Administración mediante una relación de sujeción especial. La naturaleza de esta relación, si bien no hace olvidar a esta Sala que la constitución de una relación de sujeción especial, y por tanto inspirada en especiales deberes de buena fe o lealtad del empleado (funcionario) respecto de su empleador (servicio público), justifica una especial exigencia en el cumplimiento de sus obligaciones. En efecto, una adecuada política en materia de personal al servicio de la Administración, habrá de redundar en una mayor eficacia de la misma para la consecución de los intereses generales, valor reconocido constitucionalmente en el Art. 103 de la Constitución. En consecuencia, y en la línea de esta fundamentación jurisprudencial, esta Agencia considera en conclusión, que el tratamiento del dato de la huella digital del personal al servicio de la Administración de Justicia para controlar y vigilar el cumplimiento del horario de asistencia al trabajo, es un tratamiento que cumple con el principio de calidad regulado en el artículo 4 de la LOPD, al ser un dato adecuado, pertinente y no excesivo en relación con su finalidad de controlar el cumplimiento horario de los citados trabajadores. II Otra de las cuestiones de carácter general que plantea la consulta es la aplicación del principio de finalidad a los ficheros, concretamente se cuestiona si debe entenderse que a efectos de tratamiento de datos son incompatibles las finalidades de control de acceso a los edificios y de control horario, de acuerdo con lo dispuesto en el artículo 4.2 de la LOPD. Como refuerzo argumental a la tesis de la vulneración del principio de finalidad del sistema, se aporta un documento del Supervisor Europeo de Protección de Datos en el que al enjuiciar la conformidad al derecho fundamental de un sistema implantado en el Consejo de la Unión Europea, en el que se cruzan datos de dos aplicaciones diferentes, una con fines de control horario y otra con fines de seguridad. 5
6 El principio de finalidad, se incluye en el artículo 4.2 de la LOPD cuando establece: Los datos de carácter personal objeto de tratamiento no podrán usarse para finalidades incompatibles con aquellas para las que los datos hubieran sido recogidos. No se considerará incompatible el tratamiento posterior de éstos con fines históricos, estadísticos o científicos. Al desconocer a qué Administración nos referimos y a qué ficheros concretos de la misma, carecemos de información esencial para pronunciarnos sobre la observancia del principio de calidad, puesto que desconocemos precisamente las finalidades declaradas u omitidas, en su caso, y por tanto, si existe efectivamente una desviación del principio de finalidad recogido en el artículo 4 de la LOPD. Por las consideraciones anteriores, por el Director de la Agencia Vasca de Protección de Datos se expresa la siguiente CONCLUSIÓN La implantación de un sistema informático de control horario conectado al sistema de entradas y salidas de una Administración Pública, no implica necesariamente la conculcación de la normativa en materia de protección de datos de carácter personal. En Vitoria-Gasteiz, a 28 de enero de
Id Cendoj: 28079130072007100789 Órgano: Tribunal Supremo. Sala de lo Contencioso Sede: Madrid Sección: 7 Nº de Recurso: 5017/2003 Nº de Resolución: Procedimiento: RECURSO CASACIÓN Ponente: PABLO MARIA
CN14-025. escrito las. Datos de. Protección. e argumenta. sin acceso que. comunicación. realizando su. /as? Atender a las. - www.avpd.
CN14-025 DICTAMEN RELATIVO A LA CONSULTA SOBRE GRABACIONESS AUDIOVISUALESS DE MEDIOS DE COMUNICACIÓN REALIZADAS EN EL PUESTO DEE TRABAJO. ANTECEDENTES PRIMERO: En la Agencia Vasca de Protección de Datos
Número de inscripción en el Registro de Asociaciones del Ministerio del Interior: 593433. 2011, Valencia (España), APEP http://www.apep.
Número de inscripción en el Registro de Asociaciones del Ministerio del Interior: 593433. DEFINICIÓN DE SERVICIO DE CONSULTA PARA LA ADAPTACIÓN INTEGRAL DE PROCESOS AL CUMPLIMIENTO NORMATIVO EN MATERIA
Gabinete Jurídico. Informe 0364/2015
Informe 0364/2015 La consulta plantea determinadas cuestiones relativas a la aplicación de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de Carácter Personal (LOPD), y su Reglamento

References: artículo 3
 artículo 6
 artículo 18
 artículo 18
 artículo 3
 artículo 6
 artículo 4
 artículo 6
 artículo 4
 artículo 4
 artículo 4
 artículo 4
 artículo 4