¿En qué consiste la videovigilancia?
La videovigilancia permite la captación de imágenes a través del uso de cámaras.
Ya que la imagen es un dato personal, la videovigilancia supone un tratamiento que, debe cumplir con el RGPD, y por ello debe valorarse:
- la finalidad del tratamiento.
- la legitimación para utilizar dichos sistemas de captación.
- los principios de limitación de finalidad y minimización de datos recogidos en el artículo 5 del RGPD.
- las actuaciones que deben realizarse para que los tratamientos se ajusten al contenido del Reglamento, en referencia al principio de responsabilidad proactiva.
En este artículo, y en los tres siguientes, vamos a estudiar como se regula la videovigilancia en el RGPD.
FINALIDAD
Sin duda, la finalidad más común de la videovigilancia es utilizar las cámaras para garantizar la seguridad de las personas, bienes e instalaciones.
Del mismo modo, el control de la prestación laboral, la investigación, y la asistencia sanitaria, son otros de los fines de este tipo de tratamiento.
LEGITIMACIÓN
La legitimación puede provenir de:
- El Consentimiento del titular de los datos, si bien no es un supuesto frecuente.
- Cualquiera de las demás bases que permite el Reglamento en su artículo 6 (necesario para la ejecución de un contrato, interés legítimo, interés público etc.).
- Una norma con rango de ley que exima del consentimiento. Por ejemplo, la Ley de de Seguridad Privada ( Ley 5/2014 de 4 de abril, o el artículo 20 del Estatuto de los Trabajadores).
En cuanto a los supuestos que legitiman el tratamiento de datos de carácter personal, recogidos en el artículo 6 del RGPD, se encuentra:
«permitir el tratamiento cuando sea necesario para el cumplimiento de una misión realizada en interés público».
Por consiguiente, y en cuanto a que la finalidad de la videovigilancia sea garantizar la seguridad de las personas, bienes e instalaciones, dicho tratamiento puede venir legitimado por un interés público, o por un interés legítimo.
PROPORCIONALIDAD
El RGPD recoge el principio de limitación de la finalidad en su artículo 5, y dispone que:
«los datos personales recogidos con fines determinados, explícitos y legítimos, no serán tratados posteriormente de manera incompatible con dichos fines».
Es decir, que los datos que se obtengan a través de la videovigilancia serán tratados para la finalidad que ha motivado la instalación de la cámara y que está dirigida a garantizar la seguridad de personas, bienes e instalaciones.
Asimismo, otro de los principios recogidos en el artículo 5 del RGPD es el de minimización de los datos:
«los datos personales serán adecuados, pertinentes y limitados a lo necesario, en relación con los fines para los que son tratados».
- Sin duda, existen espacios en los que podría ser desproporcionada la utilización de la videovigilancia. Por ejemplo, en vestuarios, taquillas y zonas de descanso de los trabajadores.
- De la misma manera, este principio también se proyecta a través del número y tipo de cámaras que se pretenda utilizar.
- No es lo mismo la captación de imágenes a través de una cámara fija que la realizada a través de cámaras que permiten grabaciones de 360 grados.
- Por ejemplo, una opción para aplicar el principio de minimización es el uso de “máscaras de privacidad” de forma que se evite gravar y captar imágenes excesivas.
RESPONSABILIDAD PROACTIVA
Finalmente, el ya mencionado artículo 5 del RGPD recoge este concepto como principio esencial del tratamiento de datos personales.
Consiste en la capacidad del responsable de proporcionar y demostrar evidencias de dicho cumplimiento.
Con relación a este principio, el RGPD establece un catálogo de medidas de responsabilidad proactiva que el responsable, y en ocasiones el encargado del tratamiento, deben aplicar para garantizar que los tratamientos son conformes al Reglamento europeo, estas son:
- Delegado de protección de datos.
- Registro de actividades de tratamiento.
- Análisis de riesgos.
- Medidas de seguridad.
- Evaluación de impacto en la protección de datos.
- Privacidad desde el diseño y por defecto.
Por otra parte, se debe de tener en cuenta lo siguiente:
- Las relaciones entre responsable y encargado del tratamiento de imágenes.
- La conservación de imágenes.
- Los derechos de las personas.
- La comunicación de imágenes a terceros.
RELACIONES ENTRE RESPONSABLE Y ENCARGADO DEL TRATAMIENTO DE IMÁGENES.
Normalmente, es una empresa externa la que realiza la instalación y mantenimiento de los equipos, con acceso acceso a las imágenes.
En este caso, la empresa de seguridad será un encargado de tratamiento, y quien la contrata, será el responsable del tratamiento
En consecuencia, existe un deber de diligencia en la elección del encargado.
El acceso por cuenta de terceros (empresa de seguridad) a las imágenes de las cámaras, distintos del responsable del tratamiento, deberá estar regulado por la existencia de un contrato en el que se establezca:
- el objeto
- la duración
- la naturaleza
- la finalidad del tratamiento
- el tipo de datos personales
- categorías de interesados
- las obligaciones y derechos del responsable.
Es todo caso, el responsable debe elegir un encargado del tratamiento que:
- ofrezca garantías suficientes respecto a la implantación y mantenimiento de las medidas técnicas y organizativas apropiadas (RGPD).
- garantice la protección de los derechos de las personas afectadas.
CONSERVACIÓN DE IMÁGENES
Desde la aplicación del RGPD el 25 de mayo de 2018, la mayor parte de la Instrucción 1/2006Vista previa del enlace añadida por la extensión vLex ha quedado desplazada.
Sin embargo, lo dispuesto en su artículo 6 puede considerarse que sigue en vigor.
Este artículo regula el plazo de conservación y establece que:
Se produzca la supresión de las imágenes en el plazo máximo de un mes, salvo en aquellos supuestos que se deban conservar para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones.
DERECHOS DE LAS PERSONAS
En general, los derechos que los afectados pueden ejercitar ante los responsables y encargados son:
- acceso
- rectificación
- supresión
- oposición
- limitación del tratamiento
- portabilidad
- impugnación de decisiones individuales automatizadas.
Sin embargo, el ejercicio de estos derechos debe ser matizado en el ámbito de la videovigilancia, pues no resulta aplicable:
- El derecho de rectificación. Por la naturaleza de las imágenes (datos personales) se trata del ejercicio de un derecho de contenido imposible.
- El derecho a la portabilidad, ya que la legitimación no se basa ni en el consentimiento ni en la ejecución de un contrato.
- El derecho a la limitación del tratamiento, en su aspecto de “cancelación cautelar” vinculado al ejercicio de los derechos de rectificación y oposición.
En consecuencia, los que Si serán aplicables son los derechos de acceso, supresión y limitación del tratamiento (éste último en su otra vertiente, es decir, que se solicite al responsable que conserve las imágenes).
COMUNICACIÓN DE IMÁGENES A TERCEROS
La legitimación para comunicar estos datos la encontramos en el art. 2.2.d) del RGPD.
En el ámbito de la videovigilancia este tipo de comunicaciones ocurren con bastante frecuencia, sin consentimiento del afectado, en los siguientes casos:
Primero
Cuando la comunicación de imágenes tiene por destinatarios a los Jueces y Tribunales. La legitimación para comunicar estos datos es el cumplimiento de una obligación legal, en base a lo recogido en el artículo 236 de la Ley Orgánica del Poder Judicial.
Segundo
Cuando las Fuerzas y Cuerpos de Seguridad soliciten las grabaciones en aquellos supuestos que son necesarios para la prevención de un peligro real:
- para la seguridad pública
- para la represión de infracciones penales.
El citado artículo 22 del RGPD determina su no aplicación al tratamiento de datos personales por parte de las autoridades competentes con fines de:
- prevención.
- investigación.
- detección o enjuiciamiento de infracciones penales.
- ejecución de sanciones penales.
CONCLUSIONES
Todo aquel que cuente con cámaras de videovigilancia debe:
- Documentarlo en el RAT (Registro de actividades de tratamiento).
- Cumplir con el deber de información colocando distintivos en lugar visible, con la información específica del responsable del tratamiento, para dar a conocer la existencia de cámaras de videovigilancia.
- No grabar imágenes de espacios públicos de no ser algo inevitable debido a su ubicación o que sea imprescindible para la finalidad de la grabación.
- No obtener imágenes de espacios íntimos, como lavabos, taquillas o vestuarios.
- Tomar medidas de seguridad respecto a la recogida de las imágenes y recuperación de las grabaciones. Por ejemplo, una contraseña.
- No almacenar las grabaciones más de 30 días.
- Dejar a disposición judicial imágenes o grabaciones que contengan incidencias o delitos.
