Un juez condena al Ayuntamiento de Marbella por negarse a suprimir datos biométricos de un empleado municipal

Un juzgado ha condenado al Ayuntamiento de Marbella a suprimir los datos biométricos de un funcionario, que el Consistorio mantenía pese a que este empleado había solicitado por escrito que fuesen eliminados. El juez concluye que no hay ninguna ley que autorice a la administración para recabar y luego mantener en un registro la huella dactilar y los rasgos faciales de los empleados municipales contra su voluntad, aunque el destino de esos datos sea controlar el cumplimiento de sus obligaciones laborales. Tras la apertura de un expediente sancionador por el Consejo de Transparencia que obligó a suspender el sistema, esta sentencia es otro tirón de orejas al Consistorio por un asunto cuyo origen se remonta tres años atrás.

Durante el invierno de 2022 Marbella obligó por Decreto a sus casi 4.000 empleados a entregar sus datos biométricos para fichar. Lo hizo a pesar de la oposición sindical, especialmente en el cuerpo de la Policía Local. Previamente había gastado 171.299,70 euros en contratar este sistema, cuya instalación y mantenimiento fue a parar a Atisoluciones Diseño, S.L., una empresa con sede en Granada. Por las mismas fechas, otros municipios como Estepona barajaron implantar un sistema similar, pero acabaron desestimándolo tras ser advertidos por los sindicatos de la posible ilegalidad, derivada de la aprobación de criterios legales más estrictos sobre el control de los datos personales.

La nueva obligación causó un notable malestar en muchos empleados públicos de Marbella, preocupados por perder el control de sus datos biométricos, cuyo tratamiento es “de alto riesgo”, según la clasificación del Reglamento de Protección de Datos, precisamente por presentar “un riesgo significativo para los derechos y libertades de las personas físicas”.

El contrato con Atisoluciones, suscrito en 2021, obligaba a instalar 150 terminales de reconocimiento, a 750 euros cada unidad, además de a un servicio de mantenimiento. En los pliegos no se recogía ninguna cláusula para sujetar el contrato al cumplimiento de la normativa de protección de datos.

El Consistorio se negó a paralizar el sistema, como le pedían algunos sindicatos. Defendía que la toma de huellas o el reconocimiento facial era la única forma de controlar el absentismo laboral. El sindicato SEPMA llevó al asunto al Consejo de Transparencia, que el pasado enero abrió un expediente sancionador al Ayuntamiento por el “posible incumplimiento de la normativa de protección de datos personales”. Solo entonces Consistorio paralizó el sistema.

Desde esas fechas usa un sistema basado en la aproximación de una tarjeta o en la introducción de un código, a la espera de una resolución definitiva de Transparencia. Para entonces ya había sido demandado ante los tribunales por varios empleados que, asesorados por el sindicato SEALS, habían solicitado la cancelación de sus datos, cuyas reclamaciones había ignorado.

Sin habilitación legal

La sentencia, dictada por el juzgado contencioso-administrativo 8 de Málaga el pasado 23 de julio y a la que este medio ha tenido acceso, es la primera de varias que en los próximos meses dictarán los juzgados en los que recayeron demandas similares. La resolución condena al Consistorio por su negativa a cancelar los datos, a pesar de que así se lo había solicitado el empleado, y le obliga a su “supresión íntegra” y a pagar las costas.

El juez se basa en la guía acerca de los “tratamientos de control de presencia y acceso mediante sistemas biométricos”, publicada por la Agencia de Protección de Datos en noviembre de 2023. El magistrado subraya que esa guía fundamental para interpretar los derechos y obligaciones del reglamento, y es clara al exigir que exista una norma con rango de ley que habilite la recopilación, uso y mantenimiento de esos datos, que exigen “tratamiento de alto riesgo”. En principio, el uso de tecnologías biométricas para el control horario está prohibido, a no ser que sea la única forma y, además, haya una norma con rango de ley que lo autorice. Y aquí no había tal norma, de modo que el Ayuntamiento se basó en su exclusiva voluntad.

“No sólo la Administración no acierta a invocar qué concreta normativa legal o convenio expresamente le autoriza a llevar a cabo el tratamiento de estos datos biométricos (generalmente prohibidos)”, sino que su propia actuación “revela que el registro y control de la jornada puede efectuarse mediante medidas alternativas menos intrusivas”, señala el juez. Es decir, no es cierto que, como defendía el Ayuntamiento, no pudiera controlarse de otra forma el cumplimiento de los horarios.

De hecho, el propio Consistorio implantó en marzo (forzado por la AEPD) un sistema alternativo mediante la aproximación de tarjeta de radiofrecuencia o la introducción de código de usuario con contraseña. “No puede entenderse que el tratamiento de estos datos resulte (…) ”necesario“ para el cumplimiento de la obligación de registro de la jornada”, concluye el juez para tumbar la alegación del Consistorio.

Varios casos similares y afección potencial a los datos de 4.000 empleados públicos

El juez no cree que la actuación del Ayuntamiento de Marbella haya conculcado el derecho constitucional a la intimidad personal (artículo 18 de la Constitución: “La ley limitará el uso de la informática para garantizar el honor y la intimidad personal y familiar de los ciudadanos y el pleno ejercicio de sus derechos”, del que se deriva el derecho a la protección de datos personales), pero sí concluye que mantener estos datos “de alto riesgo” contra la voluntad del empleado público es una ilegalidad.

En los próximos meses los juzgados deberán pronunciarse en al menos otros cuatro casos similares. El Ayuntamiento no ha respondido a este medio si recurrirá esta sentencia, si ya la ha cumplido y si se allanará en los juicios pendientes. Tampoco aclara si suprimirá los datos de todos sus empleados, en vista de que el razonamiento de la sentencia (que no había norma legal habilitante y sí otros sistemas menos intrusivos) es aplicable a todos los casos.

Durante el verano de 2023 el Consistorio abrió al menos dos expedientes disciplinarios ante la resistencia de sendos empleados del servicio de limpieza, a los que imputaba su negativa “a realizar la toma de datos biométricos”. Tal y como desveló este medio, llegó a presentar pliegos de cargos que contemplaban una suspensión de empleo y sueldo de tres años. El Consistorio nunca ha aclarado en qué quedaron estos expedientes, tampoco ahora.