El Ayuntamiento de Estepona implantó un sistema de control horario mediante huella dactilar, sin evaluación de impacto ni información adecuada a los trabajadores. Durante la tramitación, dejó sin efecto el sistema y eliminó los registros. Se DECLARAN TRES INFRACCIONES: Del artículo 9 RGPD, por tratamiento de categorías especiales de datos sin excepción habilitante. Identificación y autenticación biométrica constituyen igualmente categoría especial de datos. La habilitación del artículo 9.2.b) exige norma o convenio colectivo específico para esa finalidad, no una previsión genérica de control horario. Tampoco cabe amparo en el consentimiento, al no acreditarse su carácter explícito, informado y libre, dado el desequilibrio propio de la relación de empleo. La cesación posterior del tratamiento no purga la infracción ya consumada. Del artículo 35 RGPD, por evaluación de impacto incompleta, al faltar la descripción del tratamiento y la valoración de necesidad y proporcionalidad. Del artículo 13 RGPD, por incumplimiento del deber de información sobre el tratamiento biométrico. No se ordenan medidas adicionales, al haber suprimido ya la entidad el sistema y los datos asociados.