Reclamación sobre acceso a información relativa al control horario mediante datos biométricos en el Centro Penitenciario de Valencia y su posterior archivo por desistimiento

Resolución reclamación art. 24 LTAIBG I. ANTECEDENTES 1. Según se desprende de la documentación obrante en el expediente, el 19 de octubre 2023 el reclamante solicitó al MINISTERIO DEL INTERIOR, al amparo de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno (en adelante, LTAIBG), la siguiente información: «En el Centro Penitenciario de Valencia, el día 18 de octubre de 2023, desde Jefatura de Centro se llamó a los módulos residenciales y otros puestos singulares para que los trabajadores acudiesen a la Oficina de Personal a facilitar su huella dactilar. S/REF: 001-083231 N/REF: 3062-2023 Fecha: La de firma. PROFESIONAL DE FUNCIONARIOS DE PRISIONES. Dirección: Información solicitada: Petición de la huella dactilar en el Centro Penitenciario de Valencia. R CTBG Número: 2023-1054 Fecha: 14/12/2023 Que, según comentarios, esa huella se usará para establecer un sistema de control de horarios de los empleados públicos. (…) Por lo expuesto, SOLICITA Se me informe de sobre los siguientes conceptos: - Órgano Colegiado o Unipersonal que dio esa Orden. - Se me facilite la propia Orden que obliga a facilitar al Centro Penitenciario la huella dactilar (dato biométrico). Dato personal denominado de “categoría especial”. - La base jurídica del tratamiento y, en su caso, circunstancia que levanta la prohibición para tratar categorías especiales de datos, según el artículo 9 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27/04/2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en lo sucesivo, RGPD), y que dan cobertura a dicho tipo de control de acceso. - Si no existen otras alternativas menos intrusivas y proporcionales. Motivos que justifiquen la necesidad y la proporcionalidad del uso de los datos biométricos para la finalidad perseguida. - Información sobre el cumplimiento del Reglamento General de Protección de Datos. -Información y copia del análisis de riesgos realizado (por ejemplo: robo de identidad). - Información y copia de la Evaluación de Impacto relativa a la Protección de Datos, en caso de haberse realizado. - Información sobre las medidas de seguridad implantadas en base al análisis de riesgos. - El responsable del tratamiento, la identidad y los datos de contacto. - Los datos de contacto del delegado de protección de datos. R CTBG Número: 2023-1054 Fecha: 14/12/2023 - Los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento. - Los intereses legítimos del responsable. - Los destinatarios o las categorías de destinatarios de los datos personales. - La intención del responsable de transferir esos datos personales. - El plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo. - La existencia de decisiones automatizadas con esos datos, incluida la elaboración de perfiles. - Descripción precisa del funcionamiento del instrumento utilizado para la captación de las huellas dactilares. - Criterios utilizados para la codificación y el almacenamiento de la información captada (si los datos biométricos se almacenan en bruto o si son tratados de manera que sólo se almacena una plantilla biométrica). - Medidas adoptadas para garantizar que no es posible la reutilización de los datos biométricos para otra finalidad. - Si se está obligado a facilitar esa huella dactilar y las posibles consecuencias de que no facilitar tal dato personal. -Cómo ejercer los derechos de acceso, rectificación, supresión, portabilidad de los datos y la limitación u oposición a su tratamiento». 2. El MINISTERIO DEL INTERIOR dictó resolución con fecha 7 de noviembre de 2023 en la que contestó al solicitante lo siguiente: «En contestación de las cuestiones planteadas, se incluye a continuación la descripción del tratamiento de datos sobre el que se pregunta: Gestión de acceso y control horario en los centros penitenciarios. En dicha descripción, en cumplimiento del artículo 31 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos y garantía de derechos digitales, se da respuesta a parte de las solicitudes que anteriormente se enumeran puesto que algunas exigirían elaborar informes específicos al efecto o facilitar información que, por motivos de seguridad del sistema y de las propias personas implicadas, no puede proporcionarse. Igualmente, se encuentra disponible en el Registro de Actividades de Tratamiento del Ministerio del Interior y publicado en el Portal de Transparencia. (…) Se solicita igualmente copia del Análisis de Riesgos llevado a cabo y de la correspondiente Evaluación de Impacto. En relación con estos documentos, por su contenido intrínseco, su publicidad completa y generalizada supone un riesgo para la propia consistencia e integridad del tratamiento de datos que en cada caso nos ocupe. Ello en la medida en que se facilitaría el ataque a los sistemas de tratamiento aumentando su vulnerabilidad. Sin embargo, en aplicación del artículo 16 de la Ley 19/2013, de 9 de diciembre, de Transparencia, Acceso a la Infor mación Pública y Buen Gobierno, sobre acceso parcial, se participa parte de su contenido en contestación a las cuestiones planteadas. En primer lugar, sobre la necesidad del tratamiento y su proporcionalidad en comparación con otros sistemas de control del acceso a centros penitenciarios, la implementación de sistemas como el que nos ocupa se relaciona directamente con la misión pública de garantizar la seguridad en los centros penitenciarios recogido en el artículo 1 de la Ley Orgánica 1/1979, de 26 de septiembre, General Penitenciaria. Ello no sólo en cuanto a las personas privadas de libertad, sino también en cuanto a los profesionales. En este sentido, no existe otro sistema igual de eficaz y menos intrusivo en relación con la finalidad señalada que, por ejemplo, permita ataques de malware, interceptación de señalas RFID, pueda evitar pérdidas de tarjetas identificativas o robos intencionados de las mismas. Se ha de señalar que, por la especificidad de sus funciones, las personas que trabajan en los centros gozan de otras medidas especiales de protección que pretenden elevar las garantías de su seguridad. En segundo lugar, no obstante lo anterior, y siendo conscientes de la relevancia de los tratamientos de datos que llevamos a cabo, los mismos se desarrollan tratando de adaptar las medidas de seguridad adecuadas para cada caso. En concreto para el tratamiento Gestión de acceso y control horario en los centros penitenciarios que da lugar a este expediente (CP Valencia), se trata de un tratamiento en el que no se prevén transferencias al exterior, sin generación de tratamientos automatizados o creación de perfiles, sin almacenaje de huellas dactilares (patrón mínimo que se ha obtenido en el proceso) y con un tiempo de conservación estrictamente limitado al tiempo activo en el centro de referencia. Sobre el funcionamiento específico, el instrumento utilizado es un sensor óptico que emplea cuatro tecnologías y métodos para asegurar que los terminales no detecten huellas falsas de papel, plástico, goma, silicona, gelatina, etc. Una vez detecta la presencia de un dedo vivo inicia el proceso automáticamente, sin la presencia de un servidor o controladora. Todas las reglas de control de acceso se procesan en la propia placa del terminal, permaneciendo operativo. Finalmente, no se trata de un tratamiento de datos basado en el consentimiento sin que puedan ni deban preverse con carácter generalizado las consecuencias de obstaculizar su implementación y sin que exista documento público específico sobre dicha cuestión. Teniendo en cuenta lo expuesto, la petición formulada queda parcialmente fuera de lo establecido en el artículo 7.a), 8 y 13 de la LTAIPBG, y asimismo le serían aplicables entre otras, las limitaciones de exclusión establecidas en los artículos 14 a) y d) y 18.1 y 2 de la citada Ley, procede entender la INADMISIÓN de la solicitud requerida y LIMITADA de conformidad con los perjuicios aludidos». 3. Mediante escrito registrado el 15 de noviembre de 2023, el solicitante interpuso una reclamación ante el Consejo de Transparencia y Buen Gobierno (en adelante, CTBG) en aplicación del artículo 24 de la LTAIBG en la que pone de manifiesto lo siguiente: «Desde la Unidad de Información de Transparencia del Ministerio del Interior me contestaron con un escrito un tanto confuso; por una parte, finaliza diciendo que debo considerar INADMITIDA mi solicitud de información y por otra han respondido a parte de mis solicitudes. De lo solicitado, me han negado información que no está incluida en ninguna de las excepciones indicadas por esa Secretaría General. No me han informado sobre: -Órgano Colegiado o Unipersonal que dio la Orden verbal a los empleados públicos para que se procediera a facilitar la huella dactilar. - La propia Orden que obliga a facilitar al Centro Penitenciario la huella dactilar (dato biométrico). Dato personal denominado de “categoría especial”. -Cómo ejercer los derechos de acceso, rectificación, supresión, portabilidad de los datos y la limitación u oposición a su tratamiento». 4. Con fecha 20 de noviembre de 2023, el Consejo de Transparencia y Buen Gobierno trasladó la reclamación al MINISTERIO DEL INTERIOR solicitando la remisión de la copia completa del expediente derivado de la solicitud de acceso a la información y el informe con las alegaciones que considere pertinentes. El 12 de diciembre de 2023 se recibió respuesta con el siguiente contenido: «En contestación de las cuestiones planteadas, se incluyó la descripción del tratamiento de datos sobre el que se pregunta: Gestión de acceso y control horario en los centros penitenciarios. En dicha descripción, en cumplimiento del artículo 31 de la Ley Orgánica 3/2018, de 5 de diciembre, de protección de datos y garantía de derechos digitales, se da respuesta a parte de las solicitudes que anteriormente se enumeran puesto que algunas exigirían elaborar informes específicos al efecto o facilitar información que, por motivos de seguridad del sistema y de las propias personas implicadas, no puede proporcionarse. Igualmente, se reitera que la información que se debe comunicar sobre el tratamiento se encuentra disponible en el Registro de Actividades de Tratamiento del Ministerio del Interior y publicado en el Portal de Transparencia. Ampliar la información más allá de la facilitada hasta este mom ento, podrían en grave peligro tanto al sistema de seguridad del tratamiento como la seguridad nacional, la seguridad pública (de la que forma parte la política penitenciaría) y el cumplimiento de las penas por los ilícitos penales. La limitación que se produjo es proporcionada a su objeto y finalidad de protección, atendiendo a las circunstancias y extensión de la solicitud concreta, reiterando que el interés público sobre un asunto concreto también tiene limitaciones, y se recuerda que la información excedería a la que se podría facilitar incluso a las personas interesadas, no estando por tanto justificado el acceso a información de forma generalizada, extensa y amplia sobre un contenido que garantizaría. No se pretende poner trabas al derecho al acceso a la información pública, se trataría finalmente de ponderar los derechos fundamentales en juego de manera que no se trate de una decisión arbitraria o indiscriminada, sino como se ha expuesto, de una decisión basada en un presupuesto legal habilitante que, de hecho y de derecho, faculta a la imposición de límite legal para evitar un gravísimo perjuicio a la seguridad pública (en el marco de proteger el ejercicio de los derechos fundamentales), la seguridad de las propias. personas interesadas y la ejecución de las penas ante los ilícitos penales que podría derivar el acceso a dicha información. Finalmente, sobre aquellos aspectos que el reclamante entiende no comunicados y no incluidos en los fundamentos y excepciones que se aportan, se encuentran recogidos en el cuadro del Registro de Actividades de Tratamiento incluido en la contestación inicial y en estas alegaciones. A su vez, el ejercicio de derechos en materia de protección de datos se somete al régimen general previsto en la normativa específica, siendo el responsable de tratamiento quien aglutina la competencia principal en la misma. Teniendo en cuenta lo expuesto, la petición formulada queda parcialmente fuera de lo establecido en el artículo 7.a), 8 y 13 de la LTAIPBG, y asimismo le serían aplicables entre otras, las limitaciones de exclusión establecidas en los artículos 14 a), d) y e) y 18.1 y 2 de la citada Ley, procede mantener entender la INADMISIÓN de la solicitud requerida y la LIMITACION A LA INFORMACIÓN de conformidad con los perjuicios aludidos». 5. El 14 de diciembre de 2023, el reclamante presenta un escrito en el que expone que: «(…) SEGUNDO.- Ese Centro Penitenciario ha dejado de realizar el control horario del personal mediante huella dactilar y en los últimos días ha proc edido a repartir tarjetas magnéticas a los empleados para poder realizar ese control horario. Teniendo en cuenta esta nueva situación, considero que no tiene sentido continuar con esta reclamación y dado que tampoco deseo que este CONSEJO invierta recursos sin necesidad, mediante este escrito procedo a comunicarles mi desistimiento de la reclamación». II. FUNDAMENTOS JURÍDICOS 1. De conformidad con lo dispuesto en el artículo 38.2.c) de la LTAIBG y en el artículo 8 del Real Decreto 919/2014, de 31 de octubre, por el que se aprueba el Estatuto del Consejo de Transparencia y Buen Gobierno , el Presidente de esta Autoridad Administrativa Independiente es competente para resolver las reclamaciones que, en aplicación del artículo 24 de la LTAIBG , se presenten frente a las resoluciones expresas o presuntas recaídas en materia de acceso a la información . 2. La LTAIBG reconoce en su artículo 12 el derecho de todas las personas a acceder a la información pública, entendiendo por tal, según dispone en el artículo 13, «los contenidos o documentos, cualquiera que sea su formato o soporte, que obren en poder de alguno de los sujetos incluidos en el ámbito de aplicación de este título y que hayan sido elaborados o adquiridos en el ejercicio de sus funciones». De este modo, la LTAIBG delimita el ámbito material del derecho a partir de un concepto amplio de información, que abarca tanto documentos como contenidos específicos y se extiende a todo tipo de “formato o soporte”. Al mismo tiempo, acota su alcance, exigiendo la concurrencia de dos requisitos que determinan la naturaleza “pública” de las informaciones: (a) que se encuentren “en poder” de alguno de los sujetos obligados, y (b) que hayan sido elaboradas u obtenidas “en el ejercicio de sus funciones”. Cuando se dan estos presupuestos, el órgano competente debe conceder el acceso a la información solicitada, salvo que justifique de manera clara y suficiente la concurrencia de una causa de inadmisión o la aplicación de un límite legal. 3. La presente reclamación trae causa de una solicitud, formulada en los términos que figuran en los antecedentes, en la que se pide el acceso a diversa información sobre la petición de la huella dactilar realizada al personal del Centro Penitenciario de Valencia con el fin de controlar el horario. El organismo requerido dictó resolución en la que, tras dar a conocer la descripción del tratamiento de datos en relación con la gestión de acceso y control horario en los centros penitenciarios, acuerda la inadmisión de la solicitud en aplicación del artículo 18.1 y 2 LTAIBG, invocando asimismo los límites al acceso previstos en el artículo 14.1. a), d) y e) LTAIBG. Tras haber interpuesto la reclamación, el interesado manifiesta su voluntad expresa de desistir de este procedimiento, al haberse dejado de realizar el control horario mediante este sistema. 4. A la vista de lo expuesto, resulta de aplicación lo previsto en el artículo 94 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas (LPAC), en la que se indica que: «1. Todo interesado podrá desistir de su solicitud o, cuando ello no esté prohibido por el ordenamiento jurídico, renunciar a sus derechos. (…) 3. Tanto el desistimiento como la renuncia podrán hacerse por cualquier medio que permita su constancia, siempre que incorpore las firmas que correspondan de acuerdo con lo previsto en la normativa aplicable. 4. La Administración aceptará de plano el desistimiento o la renuncia, y declarará concluso el procedimiento salvo que, habiéndose personado en el mismo terceros interesados, instasen éstos su continuación en el plazo de diez días desde que fueron notificados del desistimiento o renuncia (…)». 5. En consecuencia, recibido en el Consejo de Transparencia el desistimiento expreso del reclamante y no habiéndose personado en el procedimiento terceros interesados que insten su continuación, ni existir causas que permitan limitar sus efectos, debe darse por finalizado el actual procedimiento de reclamación, con el consiguiente archivo de actuaciones. III. RESOLUCIÓN En atención a los antecedentes y fundamentos jurídicos descritos, procede el ARCHIVO de la reclamación presentada por , en representación de APFP- ASOCIACIÓN PROFESIONAL DE FUNCIONARIOS DE PRISIONES, frente al MINISTERIO DEL INTERIOR. De acuerdo con el artículo 23.1 , de la Ley 19/2013, de 9 de diciembre, de transparencia, acceso a la información pública y buen gobierno, la reclamación prevista en el artículo 24 de la misma tiene la consideración de sustitutiva de los recursos administrativos, de conformidad con lo dispuesto en el artículo 112.2 de la Ley 39/2015, de 1 de octubre , de Procedimiento Administrativo Común de las Administraciones Públicas. Contra la presente resolución, que pone fin a la vía administrativa, se podrá interponer recurso contencioso-administrativo, en el plazo de dos meses, directamente ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, de conformidad con lo previsto en el apartado quinto de la Disposición adicional cuarta de la Ley 29/1998, de 13 de julio, Reguladora de la Jurisdicción Contencioso-administrativa . EL PRESIDENTE DEL CTBG Fdo.: José Luis Rodríguez Álvarez