El Ayuntamiento de Marbella implantó un sistema de control horario mediante reconocimiento facial y huella dactilar, sin que ninguna norma habilitara específicamente el uso de datos biométricos para dicha finalidad, y sin evaluación de impacto previa ni información completa a los trabajadores. Adicionalmente, implantó una aplicación móvil de fichaje que recoge datos de geolocalización en el momento del registro, también sin evaluación de impacto, sin informar debidamente a los interesados y sin incluir dicho tratamiento en el registro de actividades. Se DECLARAN LAS INFRACCIONES del artículo 9 RGPD (tratamiento de categorías especiales de datos sin base habilitante), del artículo 35 RGPD (falta de evaluación de impacto, tanto para el sistema biométrico como para la geolocalización), del artículo 13 RGPD (información insuficiente a los interesados en ambos tratamientos) y del artículo 30 RGPD (registro de actividades incompleto respecto a la geolocalización). Se confirma como definitiva la suspensión del sistema biométrico, ya ejecutada por la entidad, sin medidas adicionales al respecto. En cuanto al tratamiento de geolocalización, que continúa vigente, se ordena acreditar la realización de la evaluación de impacto, el cumplimiento del deber de información y la actualización del registro de actividades de tratamiento.