Antecedentes del caso: cámaras ocultas y robo.

El caso se remonta a 2009.

Las empleadas fueron informadas en febrero de ese año de unas pérdidas en existencias de entre 7.780 y 24.614 euros al mes por los responsables del establecimiento para el que trabajaban, de la cadena Mercadona.

El 15 de junio de 2009 se instalaron cámaras de vigilancia para controlar la entrada y salida del local, con el conocimiento de los empleados, pero también se colocaron otras ocultas para descubrir los posibles robos de los empleados de las cajas.

Estas cámaras captaron a las trabajadoras robando o facilitando el robo de terceros.

Las cajeras fueron convocadas a reuniones individuales para visionar los vídeos. Tres de las cinco demandantes firmaron un acuerdo con el empleador en el que admitían los hechos a cambio de que no se presentaran acciones legales contra ellas por los hechos. Las otras dos cajeras no suscribieron este pacto.

Las trabajadoras fueron despedidas.

Después, todas ellas acudieron a los tribunales para recurrir sus despidos y denunciar una invasión en su intimidad.

Las mujeres denunciaron en 2012 al tribunal europeo tras agotar los cauces nacionales.

Aunque los tribunales nacionales consideraron «justificable» el uso de las cámaras ocultas dadas las sospechas de robo, el tribunal de Estrasburgo concluyó que se podían haber garantizado los derechos del propietario por otros medios,  y que no es aceptable la grabación de estas empleadas sin su conocimiento.

Las empleadas denunciaron también ante el tribunal europeo que fueron víctimas de un juicio injusto (vulneración del artículo 6.1 de la Convención Europea de Derechos Humanos).

Este segundo punto, los magistrados no dieron la razón a las trabajadoras. La sentencia recogió que los vídeos no fueron las únicas pruebas que respaldaron su despido ante los tribunales españoles y que, además, las mujeres lograron invalidar los vídeos como prueba ante la justicia.

El TEDH condenó finalmente a España,  en enero de 2018,  a indemnizar a las denunciantes porque consideró que los tribunales españoles no garantizaron su derecho a la vida privada.

La ley española no permite grabar sin avisar

El Tribunal de Estrasburgo falló que los tribunales españoles «no alcanzaron un equilibrio justo entre los derechos en juego»: el de la privacidad de las demandantes (recogido en el artículo 8 del Convenio Europeo de Derechos Humanos) y el del derecho a la propiedad del empleador.

La sentencia de violación del derecho a la vida privada y familiar de las trabajadoras fue apoyada por seis votos contra uno, pero la indemnización por daños morales salió adelante tras un ajustado apoyo de cuatro jueces frente a tres de la Sala Tercera de la Corte europea.

La resolución de Estrasburgo recordó que no se cumplió la Ley de protección de datos personales española, que incluye «la obligación de informar previa, explícita, precisa e inequívocamente» a los empleados.

Rectificación

La Abogacía del Estado, sin embargo, recurrió el fallo.

Argumentó que con la existencia de un cartel genérico, como el que tenía el establecimiento, ya era suficiente para que todo el personal se diera por avisado de que podía ser grabado en cualquier lugar y momento.

Además, insistió en que las cajeras querían agarrarse al derecho a la privacidad para lavar su responsabilidad penal.

El Tribunal Europeo de Derechos Humanos (TEDH) finalmente ha aceptado el recurso de la Abogacía del Estado de España contra la sentencia que la gran corte emitió en enero de 2018 que dio la razón a cinco cajeras.

El nuevo fallo estima, frente al argumento de las trabajadoras de que no habían sido notificadas previamente de la videovigilancia, como exige la ley española, que existe «una clara justificación» de tal medida debido a la sospecha razonable de conducta grave de las cajeras y a las pérdidas involucradas.

La sentencia hecha pública el 17 de octubre de 2019, y contra la que no cabe recurso-, rectifica por lo tanto el fallo emitido por el propio tribunal en enero de 2018, por lo que exime a España de indemnizar a las cinco demandantes con los mencionados 4500 euros que había establecido la misma sala hace un año y medio.

Los 17 magistrados han argumentado ahora que la instalación de las cámaras que grabaron las imágenes que provocaron el despido se hizo a partir de una sospecha razonable de que las trabajadoras podrían estar hurtando a la empresa, por lo que su colocación y posterior utilización para echar a las cinco mujeres estaría justificada.

El TEDH recuerda también que el Tribunal Constitucional español avala instalar estos dispositivos cuando hay este tipo de sospechas y considera la medida «proporcionada» por no haber sido utilizada más que para probar los posibles hurtos.

La reforma de la Ley Orgánica de Protección de DatosEnlace añadido por la extensión vLex realizada en 2018 que apuntaba en este sentido -permitía la instalación de cámaras ocultas por un motivo mayor-, por lo tanto, se ajustaría a derecho, según el alto tribunal.

La entrada CÁMARAS OCULTAS Y ROBO se publicó primero en Gestiona Abogados.

La Agencia Española de Protección de Datos (AEPD), ha publicado la Guía ‘Drones y Protección de Datos’, que analiza las operaciones que se efectúan con drones distinguiendo entre las que no tratan datos, las que eventualmente podrían captar información y aquellas cuyo fin implica un tratamiento de datos personales, como en el caso de la videovigilancia o la grabación de eventos.

CONDICIONES

Para comprobar si el tratamiento de los datos realizado por un vehículo aéreo no tripulado ha sido un tratamiento lícito debemos comprobar que dicho tratamiento de datos cumple:

• condiciones de licitud y
• criterios de calidad.

Consentimiento del interesado

El consentimiento libre, específico e informado del interesado es el elemento esencial en el tratamiento de datos personales.

En materia de drones, cumplir con esos requisitos no es una tarea fácil ya que ese consentimiento:

• No será dado libremente si, por ejemplo, el sujeto no es libre de entrar o salir de un área determinada sin estar bajo vigilancia.
• Tampoco será totalmente informado si a ese individuo no se le ofrece toda la información necesaria sobre el tratamiento de sus datos personales. O si, simplemente, no se le ofrece ninguna información al utilizar un dron de manera oculta.
• No será específico si no puede identificar la finalidad del tratamiento.

Pongamos un ejemplo.

Un individuo acude a un festival de música donde los promotores del evento notifican al titular de los datos de que utilizarán drones para grabar a la multitud.

¿se considera consentimiento inequívoco el hecho de comprar una entrada?

¿O debería incluirse en el ticket un aviso sobre la utilización de drones durante el mismo?

Si la compra de la entrada es online, una casilla no marcada podría solucionar el problema.

Tratamiento necesario

Un tratamiento de datos recogidos a través de drones se considerará legítimo cuando sea necesario para:

•  Ejecutar un contrato en el que el interesado sea parte. Por ejemplo, si alguien comprara un producto que se entregase a domicilio a través de un dron.
• Cumplir una obligación jurídica a la que está sujeto el responsable del tratamiento. Por ejemplo, la vigilancia de un yacimiento arqueológico, o en algunos usos relacionados con la seguridad como el control del contrabando.
• Proteger el interés vital del interesado. Por ejemplo, disminución de desastres, rescates de víctimas o el examen de la escena de un incendio.

Principio de finalidad

El responsable del tratamiento debe indicar en el momento de la recogida de los datos y por los medios que considere oportunos, la finalidad del mismo de forma nítida y precisa.

En el caso de los drones, los intereses económicos derivados de la compra-venta de datos pueden provocar que el encargado de recabar los datos prefiera venderlos a cumplir con la normativa.

Por ejemplo, una inmobiliaria puede realizar grabaciones en una zona urbana para promocionar viviendas de lujo.

Y, más tarde el Ayuntamiento puede comprar esos datos con el fin de imponer tasas más elevadas a los propietarios cuya vivienda tenga piscina.

En este caso, la dificultad de detectar al dron y, en el caso de detectarlo, conocer para qué y por quién se está utilizando, puede provocar un mayor incumplimiento de la normativa.

Necesidad, proporcionalidad y minimización de los datos

Respecto a los datos obtenidos a través de drones, deben cumplir cuatro requisitos:

• la recogida de datos por el dron debe ser susceptible de conseguir el objetivo propuesto,
• no exista una medida más moderada para la consecución de tal propósito con igual eficacia,
• la recogida de datos es ponderada o equilibrada, por derivarse de ella más beneficios que perjuicios y
• no exista un medio menos intrusivo que tenga mejores resultados.

Otro ejemplo.

Si se utiliza un dron para tomar imágenes aéreas, y por error toma fotografías de personas, esos terceros deben aparecer difuminados.

Si el dron no tuviera los sensores o dispositivos necesarios para difuminar a terceros, la obtención y tratamiento de esos datos sería contrario a la normativa de protección de datos.

Transparencia

Las peculiaridades de los drones los pueden hacer invisibles a los sentidos del individuo titular de los datos. Por tanto, es relativamente fácil que los controladores de dichos aparatos sean inidentificables aunque el titular de los datos sea consciente de la existencia del dron.

Para solucionar esto podría establecerse la necesidad de garantizar que el operador del dron sea visible. O que el dron posea una marca de registro.

Pero esto solo serviría si el dron es visible desde el suelo.

Responsabilidad activa (Accountability)

Este principio exige a los responsables del tratamiento el establecimiento de medidas que garanticen y permitan demostrar el cumplimiento del RGPD.

Se concreta en la obligación de los responsables de tener en cuenta la protección de datos desde el momento del diseño de productos y servicios. Y que, por defecto, solo sean objeto de tratamiento los datos personales mínimos, necesarios para alcanzar el fin legítimo perseguido.

En el caso de responsables del tratamiento de datos que trabajen con drones, el reto será, sin lugar a dudas, probar el consentimiento de los titulares de los datos.

Para los ciudadanos, sin embargo, la dificultad estará en determinar quién es el responsable del tratamiento.

¿QUÉ SON LOS DRONES?

Un drone es un vehículo aéreo no tripulado (VANT por sus siglas en español), y que en la actualidad tiene diferentes funciones que son fundamentales dentro de la sociedad, desde propuestas comerciales hasta el rescate de personas.

Para entenderlo, un drone vendría a ser como el clásico avión de aeromodelismo pero mucho más sofisticado. Su diseño con cámaras, GPS y sensores de todo tipo, fue inicialmente desarrollado para ser usado en los círculos militares, como misiones espías y hasta portando misiles de guerra para disparar contra blancos teledirigidos.

Los drones pueden incorporar no solo GPS y cámaras sino también escáner 3D o sistemas de detección de dispositivos móviles, , y su empleo puede suponer un impacto en el derecho a la protección de datos de las personas y, por extensión, una lesión de sus derechos y libertades.

La Guía publicada por la AEPD proporciona orientaciones a los operadores de drones que registren o procesen imágenes, vídeos, sonido, datos biométricos, de geolocalización o de telecomunicaciones, entre otros, relacionados con personas identificadas o identificables para cumplir con lo establecido en el Reglamento General de Protección de Datos y la Ley Orgánica 3/2018.

LA GUIA DE LA AEPD

El documento está dividido en cinco secciones.

Las tres primeras están dedicadas a los tipos de operaciones que se pueden llevar a cabo con drones, clasificándolos según el tratamiento de datos.

Así, distingue un primer tipo que comprende operaciones con configuraciones muy básicas, que carecen o no hacen uso de dispositivos de captación de imágenes, sonido o cualquier otro tipo de información personal. En esta categoría podrían incluirse usos de ámbito recreativo o deportivo.

Un segundo tipo comprende casos como el empleo de drones para la inspección de infraestructuras, la confección de planos de terrenos u otros servicios de vídeo para cine, televisión o publicidad, en los que se puede producir una captura de datos personales de forma no intencionada.

Una tercera posibilidad es que la finalidad para la que se usa el dron implique un tratamiento de datos personales de forma inherente.

En los tres casos, la AEPD ofrece recomendaciones para aficionados y para operadores profesionales de drones, tanto en aquellos casos en los que decidan sobre la finalidad del tratamiento de datos como en los que llevan a cabo un encargo de tratamiento.

CONSEJOS PREVIOS

La Guía destina un apartado específico a ofrecer recomendaciones previas al manejo de un dron cuando sea de aplicación la normativa de protección de datos personales.

Entre ellas, valorar la necesidad de evaluar los riesgos que pueda implicar el tratamiento para los derechos y libertades de las personas y, si fuera necesario, realizar una evaluación de impacto sobre la protección de datos (EIPD);

llevar a cabo un análisis de riesgos si la EIPD no fuera precisa, o tener en cuenta que, si se captan imágenes para uso personal, éstas no deben publicarse en internet de manera que sean accesibles indiscriminadamente cuando sea posible identificar a personas o se muestren espacios privados, como viviendas, jardines o terrazas.

Finalmente, la Guía recoge un apartado con preguntas frecuentes donde se plantean dudas prácticas relacionadas con los posibles tratamientos de datos personales captados desde un dispositivo de este tipo.

La entrada PROTECCION DE DATOS Y DRONES se publicó primero en Gestiona Abogados.

¿Es posible grabar imágenes de alumnos durante el horario de clases?

Debido a la conflictividad alcanzada hoy  día en algunos centros docentes, se llega al punto de plantearse por parte de éstos la posibilidad de instalar videocámaras no sólo en sus patios, pasillos y zonas de recreo, sino también dentro de las propias aulas durante el desarrollo de las horas lectivas.

La cuestión es si conforme a la Ley, es posible captar imágenes en un entorno escolar cuando la finalidad es controlar hurtos, acoso escolar o agresiones físicas o verbales a los profesores y compañeros en horario escolar.

Legislación sobre la grabación en las escuelas

La instalación de videocámaras en patios, zonas públicas o de acceso a un colegio está permitida y sujeta al ámbito de aplicación de la normativa sobre Protección de Datos.

La legitimación se ampara en el art. 2 de la instrucción 1/2006 y la Ley 23/1992, de 30 de julio, de Seguridad Privada.

¿EN TODOS LOS CASOS?

NO.

Fines de seguridad frente a protección de la intimidad

La regla general para instalar un sistema de estas características, es que no existan otras medidas que permitan obtener el mismo fin (seguridad de bienes y personas) que resulten menos invasivas sobre la privacidad o intimidad de las personas afectadas, cuya imagen se puede captar.

Debemos tener en cuenta que habrá determinados lugares o espacios en los que no se podrán instalar las cámaras. Por suponer una vulneración de los derechos de privacidad e intimidad de las personas.

Grabación de imágenes de los alumnos menores de edad

Por otra parte, una de las cuestiones más delicadas que plantea la instalación de cámaras de seguridad en colegios o institutos, es el hecho de que, en su mayor parte, la captación de las imágenes afectará a menores de edad. Esto implica el tratamiento de datos de un colectivo considerado como vulnerable.

En todo caso, la captación, grabación y posterior uso de las imágenes, no puede suponer un perjuicio para los derechos e intereses de los menores.

Por tanto, cuando se plantea si es posible grabar dentro de las aulas, la legitimación que existe para los supuestos de seguridad ( controlar hurtos, acoso escolar o agresiones físicas o verbales a los profesores y compañeros en horario escolar), no es válida, pues considera la Agencia Española de Protección de Datos que su finalidad no es mantener la seguridad del centro sino otra.

Es decir, que será necesario el consentimiento de los profesores, alumnos, padres o representantes legales (si fueran menores de 13 años), para poder realizar dichas grabaciones, pues en caso contrario, la grabación sería ilegítima.

CONSENTIMIENTO 

En definitiva, para poder instalar cámaras de vigilancia dentro de las aulas con fines distintos de la seguridad, será imprescindible el consentimiento de los afectados, sin son mayores de edad, o de sus padres en caso contrario.

Y en cualquier caso, será necesario cumplir los requisitos de instalación de videocámaras, que hemos explicado en otro post. Pincha aquí si quieres obtener una mayor información.

La entrada VIGILANCIA EN LAS AULAS Y RGPD se publicó primero en Gestiona Abogados.

La utilización del sistema de videovigilancia en el ámbito del control laboral es un derecho del empresario para la defensa de la productividad.

Tal y como el Tribunal Constitucional lo ha calificado;

Este poder de control del empresario, es «imprescindible para la buena marcha de la organización productiva, dentro del debido respeto a la dignidad del trabajador.

FORMA

Se debe remitir una comunicación previa al Comité de empresa, y en su caso, representantes legales de los trabajadores, para que emitan un informe sobre las medidas a implementar por el empresario.

Es decir, la información a los empleados debe ser previa, así como expresa, precisa, clara e inequívoca, especificando la finalidad de control de la actividad laboral, a la que esa captación de imágenes, puede ser dirigida.

Esta información puede realizarse:

• mediante una circular informativa
• a través de su inclusión en una clausula del contrato
• un anexo al contrato laboral
• otros sistemas

CASOS REALES

Una trabajadora denuncia a Zara por utilizar grabaciones para despedirla

Una empleada de Zara,   que fue grabada por una cámara sustrayendo una cantidad de 200 € de la caja, fue despedida.

Resulta que, ante la denuncia de esta trabajadora, por no haber dado su consentimiento para ser grabada, el Tribunal Constitucional dio la la razón a la empresa.

En efecto,  el Tribunal Constitucional consideró que  el hecho de que exista un cartel informando de la existencia de cámaras,  es suficiente para que los empleados conozcan que se les está grabando.

¡Atentos! Cuando firmamos un contrato, muchas veces autorizamos a que se graben nuestras imágenes y se traten para fines estrictamente laborales.

Al empresario se le otorga la capacidad de dirección,  por lo que no necesita el consentimiento de los trabajadores para tomar esas medidas de vigilancia.

En este caso, se considera que el uso de las cámaras de videovigilancia
está justificado, es idóneo, necesario y equilibrado.

MÁS SANCIONES EN VIDEOVIGILANCIA

La jurisprudencia nos regala Sentencias que declaran procedentes despidos,  basándose en imágenes obtenidas por cámaras ocultas en un cuarto de baño.  (descarga: pdf).

Y con otras que, al contrario del caso de Zara,  ordenan indemnizar a trabajadores válidamente despedidos, y que reconocieron haber robado dinero de las cajas de un supermercado, basándose en la “maliciosa” ocultación de las cámaras «incriminatorias».

CRITERIO DEL TRIBUNAL CONSTITUCIONAL

Los sistemas de videovigilancia, como toda medida susceptible de atentar contra derechos fundamentales, debe superar el juicio clásico de constitucionalidad:

1.Idoneidad: debe ponderarse si la captación de imágenes es un medio idóneo para conseguir el objetivo propuesto.

Por ejemplo, imaginemos a un empleado frente a un ordenador cuya imagen no alcance a adivinar la actividad en el monitor: no podría considerarse adecuada si la imagen no es capaz de revelar su actividad laboral.

2.Necesidad: debe ponderarse si la videovigilancia es el medio menos intrusivo.  Debe tener un carácter subsidiario, como toda medida restrictiva de derechos. 

3.Proporcionalidad en sentido estricto:  debe atender a un equilibrio entre los perjuicios causados (intromisión) y los beneficios que suponga su uso (control laboral, patrimonio empresarial, etc.).

GRUPO DE TRABAJO 29

Al respecto, el Dictamen 4/2004, apartado D) del Grupo de Trabajo del artículo 29 de la Directiva 95/46/CE, relativo al tratamiento de datos personales mediante vigilancia por videocámara, señala lo siguiente:

“El principio según el cual los datos deberán ser adecuados y proporcionales al fin perseguido significa, en primer lugar, que el circuito cerrado de televisión y otros sistemas similares de vigilancia por videocámara sólo podrán utilizarse con carácter subsidiario, es decir: con fines que realmente justifiquen el recurso a tales sistemas.

Dicho principio de proporcionalidad supone que se pueden utilizar estos sistemas cuando otras medidas de prevención, protección y seguridad, de naturaleza física o lógica, que no requieran captación de imágenes (por ejemplo, la utilización de puertas blindadas para combatir el vandalismo, la instalación de puertas automáticas y dispositivos de seguridad, sistemas combinados de alarma, sistemas mejores y más potentes de alumbrado nocturno en las calles, etc.) resulten claramente insuficientes o inaplicables en relación con los fines legítimos mencionados anteriormente.”.

Límite de la calidad de los datos

El derecho a la protección de datos protegido por el art. 18.4 de la CE, en relación con el art. 5.1 del Reglamento (UE) 2016/679, recoge que los datos de carácter personal sólo se podrán recoger para su tratamiento, cuando sean adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados.

Límite a las cámaras ocultas

En consonancia con lo expuesto anteriormente, debe restringirse el uso de cámaras ocultas y/o clandestinas a situaciones de gravedad y excepcionalidad.

Hasta ahora, su uso venía siendo validado, de una manera algo permisiva, por parte de los juzgadores, bastando, en la mayoría de casos, la mera alegación de la empleadora de la existencia de una sospecha de ilícito previa.

Si bien, tras la Sentencia del TEDH, de 9 de enero de 2018, se exige que la información sea previa, expresa, clara y concisa ( tanto a los trabajadores como a sus representantes legales)  de la instalación de videocámaras en el entorno laboral, cuestión ya recogida por la redacción del art. 89 de la LOPDgdd.

Además, el uso de cámaras ocultas debe ser limitada en el tiempo y no debe extenderse por un periodo tan prolongado que se convierta en un sistema de carácter fijo.

En suma, sólo deben colocarse para un fin concreto y usarse para confirmarlo o no, durante un tiempo prudencial y de una manera proporcionada a la gravedad del hecho, sin que pueda exonerarse del derecho fundamental a la autotutela informativa.

A colación del uso de cámaras ocultas, el Tribunal Europeo de Derechos Humanos, en su Sentencia de 9 de enero de 2018, llega a sostener:

“La Corte observa que la videovigilancia encubierta de un empleado en su lugar de trabajo debe considerarse, como tal, una intrusión considerable en su vida privada.

Implica una documentación grabada y reproducible de la conducta de una persona en su lugar de trabajo, que él o ella, que está obligado por el contrato de trabajo para realizar el trabajo en ese lugar, no puede evadir.”

Límite al plazo de conservación

Hasta ahora, la Instrucción 1/2006 establecía la obligación de cancelar las imágenes en el plazo máximo de un mes desde su captación, pero permitía su conservación cuando se hubiera registrado algún ilícito, incluyendo las infracciones laborales, si éste era su fin.

Sin embargo, la actual redacción del art. 22.3 de la LOPDgdd, recoge.

“Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones.”

Conclusión

Resulta obvio que, ni la regulación normativa ni las interpretaciones judiciales, han logrado generar un marco sólido para la aportación de imágenes extraídas de sistemas de videovigilancia con fines de control laboral.

Pero lo que sí se han establecido son unas bases de mínimos para garantizar, tanto la efectividad probatoria de las imágenes. como los derechos fundamentales de los trabajadores.

A pesar de ello, desde la sacudida practicada por el Tribunal Europeo de Derechos Humanos al estado español, los tribunales del Orden Social han ajustado sus interpretaciones,  y no son pocas las resoluciones que consideran que la prueba es ilícita cuando no se cumplen los parámetros que garantizan los derechos de los trabajadores.

Sin duda, los derechos de los trabajadores se ven reforzados con estas interpretaciones que no cercenan las posibilidades de los empleadores, sino que las regulan y fortalecen para que dichas medidas de control puedan ser usadas con plenas garantías de validez y licitud.

En consecuencia, habrá que respetar los derechos fundamentales de los afectados mediante las garantías recogidas en la legislación específica en materia de protección de datos de carácter personal, además de la normativa laboral.

La entrada CONTROL LABORAL EN VIDEOVIGILANCIA se publicó primero en Gestiona Abogados.

¿ES NECESARIA LA EVALUACIÓN DE IMPACTO EN VIDEOVIGILANCIA?

En algunos casos SI. Por ejemplo:

• Cuando el sistema de videovigilancia emplee una nueva tecnología que pueda entrañar un alto riesgo (como, por ejemplo, la utilización de drones o el tratamiento de datos biométricos como el reconocimiento facial)
• El responsable pretenda realizar una observación sistemática a gran escala de una zona de acceso público (como pueden ser plazas, calles, grandes centros comerciales, aeropuertos o estaciones de tren, etc.). 

Para saber si es necesario realizar una Evaluación de Impacto en los sistemas de videovigilancia, el RGPD establece una serie de directrices, que tratan de conseguir una mayor proactividad por parte de los responsables del tratamiento de datos.

Y para ello, junto con el registro de actividades de tratamiento, debemos analizar el nivel de riesgo que los tratamientos de datos personales (en este caso, la captación o grabación de imágenes de personas físicas), implican para los afectados.

Sobretodo, es recomendable que el resultado del análisis de riesgos conste por escrito.

Por supuesto, y para el caso de que se aprecie un riesgo muy elevado, debe realizarse también una evaluación de impacto en materia de protección de datos personales.

En consecuencia, este protocolo adicional nos permitirá establecer las medidas de seguridad más adecuadas para el tratamiento de la imagen física, a través de sistemas de videovigilancia.

EVALUACIÓN DE IMPACTO

El Surveillance Camera Commissioner (órgano consultivo británico que asesora en materia de videovigilancia) ha publicado una plantilla para que las organizaciones británicas puedan llevar a cabo las evaluaciones de impacto en la protección de los datos de sus sistemas de videovigilancia. 

Sin duda, de dicho documento, resultan útiles las preguntas que los responsables del tratamiento deben responder, y que pueden aplicarse a cualquier evaluación de impacto que verse sobre un sistema de videovigilancia:

¿Qué problema o incidencia se pretende resolver? 

Detallar el problema que necesita ser prevenido o mitigado (por ejemplo, aumento de la criminalidad y robos en la zona) y demostrar la existencia de éste (mediante estadísticas de delincuencia, artículos de periódicos, estudios, etc.). 

¿Cómo puede el sistema mitigar, de forma realista, los riesgos derivados del problema planteado? 

Manifestar las razones por las cuales el empleo de videocámaras reducirá, en la práctica, los riesgos. 

¿Se ha tomado en consideración otras medidas alternativas menos intrusivas para la privacidad? 

Indicar las medidas alternativas consideradas (por ejemplo, un alumbrado mejorado, la contratación de personal de seguridad, etc.) de manera previa a la toma de decisión de usar el sistema de videovigilancia elegido. 

¿Cuál es la legitimación (base jurídica) para la utilización del sistema de videovigilancia? 

El artículo 6 del Reglamento General de Protección de Datos establece los supuestos que legitiman el tratamiento de datos de carácter personal (consentimiento, relación contractual, intereses vitales del interesado o de otras personas, obligación legal para el responsable, interés público o ejercicio de poderes públicos o intereses legítimos prevalentes del responsable o de terceros a los que se comunican los datos).

Sin embargo, la Agencia Española de Protección de Datos, en su Guía sobre el uso de videocámaras para seguridad y otras finalidades, manifiesta que “puesto que la finalidad de la videovigilancia consiste en garantizar la seguridad de personas, bienes e instalaciones, el interés público legitima dicho tratamiento.”

EJEMPLO DE EIPD EN VIDEOVIGILANCIA

Fines del tratamiento

Detección y prevención de actividades ilícitas o el seguimiento de personas sospechosas, identificar personas de interés a través de mecanismos de reconocimiento facial, encontrar personas vulnerables o buscadas, etc.

Tecnología empleada en la recogida de la información

Videocámaras de circuitos cerrados de televisión, videocámaras corporales, ANPR, drones, videocámaras stand-alone, visionado en tiempo real, etc.

Transmisión de la imagen

Fibra óptica, inalámbrico, cableado, banda ancha, etc.

Zona videovigilada

lugares públicos, aparcamientos, edificios o instalaciones, etc.

Categorías de interesados

Público en general, individuos sospechosos, vehículos, visitantes, etc.

Destinatarios de las imágenes

Encargados, Fuerzas y Cuerpos de Seguridad, Jueces o Tribunales, etc.

Plazos de conservación de los datos

Un mes

Métodos de almacenamiento

Unidades de disco duro (HDD) de baja, o de alta capacidad, transmisiones de vídeo ininterrumpida, Video Inteligente, etc.

Métodos de supresión

Borrado de las imágenes, destrucción de discos duros, etc

Opinión de los interesados

Indicar las observaciones y comentarios de las personas afectadas por la videovigilancia o sus representante (obtenidas, por ejemplo, mediante reuniones, encuestas, cuestionarios, etc.).

Beneficios o ventajas se esperan conseguir

Detallar las razones por las cuales se considera que el sistema elegido es más efectivo en comparación con otras medidas alternativas existentes.

Riesgos para la privacidad

Tomar en consideración las expectativas razonables de los interesados y el impacto que puede tener el sistema en el comportamiento de éstos.

Medidas relacionadas con la privacidad desde el diseño y por defecto

Indicar las medidas contempladas para aplicar de forma efectiva los principios de protección de datos e integrar las garantías necesarias en el tratamiento, así como asegurar que solo sean objeto de tratamiento los datos personales que sean necesarios para cumplir el fin propuesto. 

Acceso y utilización 

Identificar las organizaciones (corresponsables, encargados u otros destinatarios) que accederán o tratarán los datos personales derivados del sistema de videovigilancia, y sus responsabilidades respecto a los mismos. 

Identificación de los interesados

Proporcionar los motivos por los cuales se hace necesaria la identificación de las personas.

Por ejemplo, los drones empleados para observar el tráfico y detectar posibles infracciones necesitan recoger las matrículas de los vehículos para multar a los infractores;

Sin embargo, los drones diseñados para detectar y extinguir incendios forestales no necesitan, en un principio, recoger datos de carácter personal.

EVALUACIÓN CONTINUA

Los sistemas de videovigilancia deben ser revisados regularmente (por ejemplo, una vez al año) para asegurar que sigan siendo necesarios, proporcionados y efectivos en relación a su finalidad inicial.

En consecuencia, podríamos formularnos las siguientes preguntas:

• ¿Hay la posibilidad de que surjan nuevos fines del tratamiento en el futuro?
• ¿Cómo se analizará los riesgos que puedan surgir de los nuevos fines?: Indicar si es probable de que las imágenes originadas a partir del sistema de videovigilancia puedan ser utilizadas para cualquier otro fin o que se añadirá al mismo alguna tecnología adicional (por ejemplo, reconocimiento facial) y cómo se gestionarán estos cambios.
• ¿Se ha tenido en cuenta el impacto que el sistema de videovigilancia tendrá en los derechos y libertades de los interesados? 
• ¿Puede el sistema de videovigilancia provocar discriminación? : Detallar si la videovigilancia propuesta tendrá un impacto discriminatorio o desproporcionado sobre un sector específico de la sociedad. Por ejemplo, la instalación de videocámaras en barrios con una alta densidad de un grupo religioso o étnico concreto. 

CONCLUSIONES

La contestación de las preguntas indicadas anteriormente permiten:

• obtener una descripción sistemática del tratamiento y de sus fines.
• determinar la necesidad y la proporcionalidad del tratamiento.
• evaluar los riesgos para los derechos y libertades de los interesados
• abarcar las medidas previstas para afrontar dichos riesgos.

Es decir, el contenido mínimo que debe incluir una evaluación de impacto según exige el artículo 35.7 del Reglamento General de Protección de Datos. 

Dicho lo anterior, una evaluación de impacto relativa de protección de datos no implica únicamente contestar una serie de preguntas; sino que se trata de un proceso estructurado en diferentes etapas (cada una de ellas comportando la realización de una serie de actividades):

• Análisis previo de la necesidad de la evaluación.
• Descripción sistemática del tratamiento.
• Evaluación de la necesidad y la proporcionalidad del mismo.
• Gestión de riesgos (identificación, evaluación y tratamiento de éstos).
• Supervisión de la implantación de las medidas que garantice la protección de datos personales.
• Revisión del tratamiento objeto de la evaluación.

Todas estas etapas deberán quedar documentadas en el correspondiente informe de la evaluación de impacto.

En cualquier caso, a la hora de colocar o reubicar una cámara o cambiar su punto de enfoque o proceder a la instalación o actualización de un sistema de videovigilancia, el responsable del tratamiento debe conocer las respuestas a las preguntas que se plantean en el documento publicado por la comisión de garantías de la videovigilancia británico.

BRECHAS DE SEGURIDAD

El RGPD también establece la obligación de notificar a la AEPD, las incidencias de seguridad que produzcan como resultado una pérdida, borrado o destrucción de datos de carácter personal.

Esta comunicación a la autoridad de control deberá realizarse en el plazo de 72 horas desde que se hubiera tenido conocimiento de la incidencia.

No obstante, se podría evitar la notificación de los hechos a la AEPD si se pueden aplicar medidas correctoras que minimicen el riesgo sobre los derechos de los afectados.

O no se aprecie un perjuicio para sus intereses.

La entrada EVALUACION DE IMPACTO Y VIDEOVIGILANCIA. se publicó primero en Gestiona Abogados.

Cuando se instalan cámaras de videovigilancia, el derecho a la intimidad debe ser protegido.

Por lo tanto, no se podrán captar imágenes:

• de la vía pública, salvo que sea estrictamente necesario.
• baños.
• vestuarios.

Informar sobre la existencia de videocámaras

Este deber es muy importante, ya que permite el ejercicio posterior de otros derechos y debe ser:

• expreso
• preciso
• inequívoco

Así, los responsables que cuenten con sistemas de videovigilancia deben colocar en las zonas con cámaras al menos un cartel informativo ubicado en un lugar suficientemente visible.

En consecuencia, deberían colocarse tantos carteles como cámaras haya instaladas.

Como mínimo, debe colocarse en todas las entradas al edificio o local que tenga las cámaras.

Cartel videovigilancia.

En este cartel debe informarse de:

• que es una zona videovigilada
• ante quién podemos ejercitar nuestros derechos.

Pincha aquí para obtener el cartel informativo.

Los carteles informativos de videovigilancia deben cumplir los requisitos indicados anteriormente.

En caso de que no incluyan información referente al Responsable del tratamiento o la dirección donde ejercer los derechos por los afectados se considerarán como no válidos.

En ese caso, el Responsable puede ser sancionado por incumplimiento de la normativa de Protección de Datos.

Además del cartel  informativo, la empresa habilitará un impreso en el que se tiene la obligación de informar de:

• La existencia de un fichero o tratamiento de datos de carácter personal y cual es la finalidad del mismo.
• Posibilidad de ejercer los Derechos de Acceso, Supresión y Limitación del tratamiento.
• Identidad y direcciones del Responsable del Tratamiento.

En consecuencia el impreso debe de estar disponible y debe existir, cuando menos, la posibilidad de imprimirlo a petición del afectado.

Necesidad de consentimiento.

En los tratamientos de datos de los sistemas de videovigilancia con fines de seguridad privada no será necesario obtener el consentimiento de los afectados, siempre que no se capten imágenes de la vía pública.

Sin embargo, esto no supone que puedan instalarse sistemas de videovigilancia en cualquier lugar ya que deben tenerse en cuenta las exigencias del RGPD en cuanto:

• al principio de calidad de los datos
• al principio de proporcionalidad
•  la normativa sobre intimidad personal

Dónde está permitido instalar cámaras de videovigilancia

Debemos tener en cuenta que no todo vale en la instalación de cámaras de videovigilancia. Por eso vamos a aclarar unos casos concretos.

Vía pública

Únicamente se podrán grabar imágenes de espacios públicos, cuando sea imprescindible para la finalidad de videovigilancia o resulte imposible evitarlo por la ubicación de las cámaras.

Cámaras en espacios públicos de uso privado (comercios, restaurantes…)

Deberá de cumplirse de manera rigurosa con el principio de proporcionalidad. No se instalarán cámaras en baños o vestuarios, no se grabarán conversaciones y no se usarán las imágenes con fines comerciales salvo autorización del afectado.

Comunidades de propietarios

Es cada vez más habitual que las comunidades de propietarios opten por instalar sistemas de videovigilancia como medio para prevenir delitos o actos de vandalismo.

Por eso, y antes de instalar estas cámaras, debemos examinar la finalidad perseguida con la instalación de dicho sistema, así como las alternativas para actuar de manera proporcional en relación a la infracción que se intente impedir.

En consecuencia, hemos de tratar de compatibilizar seguridad y vigilancia con los derechos fundamentales de las personas.

Además, y una vez instaladas, deben cumplir la normativa de protección de datos.

Un caso especial: La videovigilancia de los trabajadores

Cada vez es más habitual que las empresas empleen los sistemas de videovigilancia con el fin de ejercer una inspección de la actividad laboral sobre sus empleados.

Además lo realizan sin informarles de este tratamiento.

¡Error! Se debe informar de manera previa y expresa, precisa, clara e inequívoca a los trabajadores del propósito de ese control de la actividad laboral a la que esa captación podía ser dirigida.

En la información debe indicarse los siguiente:

• las características
• el alcance del tratamiento de datos que va a realizarse
• en qué casos las grabaciones se podrán analizar
• durante cuánto tiempo y con qué propósitos
• especificar que podrán utilizarse con el fin de imponer sanciones disciplinarias por incumplimientos del contrato de trabajo.

En los casos de vigilancia de trabajadores está excluida la necesidad de consentimiento.

Según el Estatuto de los trabajadores vigenteLey del Estatuto de los Trabajadores (Real Decreto Legislativo 2/2015, de 23 de octubre)Enlace añadido por la extensión vLex:

«el empresario puede establecer las medidas que considere más oportunas de vigilancia y control para comprobar el cumplimiento por el trabajador de sus obligaciones y deberes laborales».

Preguntas frecuentes

¿Quién puede ver las grabaciones de cámaras de seguridad?

Sólo las personas autorizadas.

El acceso a las imágenes grabadas debe estar protegido por un usuario y contraseña de forma que sólo las personas autorizadas puedan acceder a las mismas.

Por tanto, el responsable del tratamiento designará a las personas concretas que tendrán acceso a esas imágenes, que constarán como usuarios autorizados en el registro de actividades de tratamiento, y que serán informados de sus respectivas obligaciones.

Normalmente será personal de empresas de seguridad contratadas, o trabajadores de esa empresa, a los que se les asigne específicamente esa función.

En caso de Comunidades de propietarios, deberá designarse a la persona o personas autorizadas concretas, ya que el acceso por todos los vecinos a las imágenes resulta desproporcionado.

Las Fuerzas y Cuerpos de Seguridad pueden tener acceso a las grabaciones en la prevención de actos delictivos, la protección de las personas y la conservación y salvaguarda de bienes que estén en situación de peligro.

¿Quién no puede ver esas grabaciones?

No pueden visualizar las imágenes grabadas por cámaras de videovigilancia:

• Quienes no hayan sido designados por el responsable del tratamiento como personas autorizadas.
• Terceros que no aparezcan en la grabación.

El caso de los centros geriátricos

Un caso específico que nos preguntan a menudo es si es posible que los familiares puedan solicitar imágenes grabadas en centros geriátricos de los residentes.

Habría que diferenciar si la persona afectada tiene capacidad plena de obrar.

En este caso sería dueña de sus propios datos y la cesión de los mismos se realizará mediante consentimiento expreso y escrito.

De no ser así, serán sus representantes legales quienes accedan a dicha información, ya que actúan en nombre y representación del afectado.

Serían ellos quienes puedan solicitar el acceso a esas imágenes pero solo de su familiar, no de cualquier otra persona que aparezca en las grabaciones.

El caso de los centros comerciales. Ejemplo.

Entro a un Centro Comercial, y en la entrada me encuentro un cartel que me avisa de que:

• voy a ser grabado con la finalidad de asegurar y controlar las instalaciones.
• la grabación será conservada durante treinta días.
• el tratamiento se realizará en base al interés legítimo de la compañía para proporcionar seguridad en las instalaciones a los usuarios y gestionar incidencias de seguridad.
• los destinatarios de las grabaciones serán las Fuerzas y Cuerpos de Seguridad del Estado, los Jueces y los Tribunales.
• me asiste el derecho de acceso, rectificación, supresión, oposición, portabilidad, y limitación mediante solicitud a una dirección de correo electrónico.

Analicemos su contenido:

Lugar

Este cartel ha de estar en un lugar VISIBLE antes del lugar objeto de la grabación.

NO es válido poner el cartel debajo de la cámara que te está grabando. Ha de estar visible.

Legitimación.

Para la Agencia Española de Protección de Datos (AEPD), el hecho de realizar una grabación está legitimado por un interés público.

Sin embargo, son muchos los que consideran que el interés público no impera en el ámbito privado, y por tanto debería legitimar la grabación el interés legítimo.

Derechos.

Acceso: 

Sí, pero es practicamente imposible.

La AEPD dice en su guía de videovigilancia que“resulta prácticamente imposible acceder a imágenes sin que pueda verse comprometida la imagen de un tercero.

Por ello puede facilitarse el acceso mediante escrito certificado en el que, con la mayor precisión posible y sin afectar a derechos de terceros, se especifiquen los datos que han sido objeto de tratamiento”. 

En conclusión, mucha suerte a aquel que decida ejercer este derecho.

Rectificación: 

Por supuesto que no.

¿Cómo vamos a rectificar una imagen obtenida por videovigilancia?

Supresión.

Sí.

En el plazo máximo de un mes según lo recogido en el  artículo 6Vista previa del enlace añadida por la extensión vLex  de la  Instrucción 1/2006.

Oposición: 

No es aplicable, salvo que se acrediten motivos legítimos imperiosos para el tratamiento, que prevalezcan sobre los intereses, derechos y libertades del interesado.

Dado que este derecho se entiende como la imposibilidad de tomar imágenes en el marco de instalaciones de videovigilancia resulta que prevalecería la protección de la seguridad.

Portabilidad: 

No se aplica.

Tal y como dicta la AEPD en la guía referenciada anteriormente:

“aunque se trata de un tratamiento automatizado, la legitimación no se basa ni en el consentimiento ni en la ejecución de un contrato”.

Por tanto, el interés público (o legítimo), que es la base de legitimación utilizada para justificar las grabaciones de videovigilancia, no se aplica al ejercicio de este derecho.

Limitación del tratamiento: 

El interesado podrá ejercer el derecho a la limitación del tratamiento únicamente cuando:

“el tratamiento de datos sea ilícito y el interesado se oponga a la supresión de sus datos y, por tanto, solicite en su lugar la limitación de su uso” y cuando “el responsable ya no necesite los datos para los fines del tratamiento pero el interesado si los necesite para la formulación, el ejercicio o la defensa de reclamaciones”.

Y todos los que hemos estado en centros comerciales, comercios, restaurantes, etc, hemos visto carteles informativos que no cumplen con lo que hemos comentado en este artículo.

Si como hemos visto, no se aplican todos los derechos de los interesados,

¿por qué no dejamos de ver carteles informativos de videovigilancia en el que te indican que tienes derecho de acceso, rectificación, oposición, portabilidad de tus datos personales y limitación del tratamiento?.

Evidentemente, algo están haciendo mal 🙂

Para terminar os dejamos un enlace a los recursos que la propia AEPD ha incluido en el área de videovigilancia de su página web y al cartel de aviso de videovigilancia.

La entrada DERECHO A LA INTIMIDAD Y VIDEOVIGILANCIA (II). se publicó primero en Gestiona Abogados.

¿En qué consiste la videovigilancia?

La videovigilancia permite la captación de imágenes a través del uso de cámaras.

Ya que la imagen es un dato personal, la videovigilancia supone un tratamiento que, debe cumplir con el RGPD, y por ello debe valorarse:

• la finalidad del tratamiento.
• la legitimación para utilizar dichos sistemas de captación.
• los principios de limitación de finalidad y minimización de datos recogidos en el artículo 5 del RGPD.
• las actuaciones que deben realizarse para que los tratamientos se ajusten al contenido del Reglamento, en referencia al principio de responsabilidad proactiva.

En este artículo, y en los tres siguientes, vamos a estudiar como se regula la videovigilancia en el RGPD.

FINALIDAD

Sin duda, la finalidad más común de la videovigilancia es utilizar las cámaras para garantizar la seguridad de las personas, bienes e instalaciones.

Del mismo modo, el control de la prestación laboral, la investigación, y la asistencia sanitaria, son otros de los fines de este tipo de tratamiento.

LEGITIMACIÓN

La legitimación puede provenir de:

• El Consentimiento del titular de los datos, si bien no es un supuesto frecuente.
• Cualquiera de las demás bases que permite el Reglamento en su artículo 6 (necesario para la ejecución de un contrato, interés legítimo, interés público etc.).
• Una norma con rango de ley que exima del consentimiento. Por ejemplo, la Ley de de Seguridad Privada ( Ley 5/2014 de 4 de abril, o el artículo 20 del Estatuto de los Trabajadores).

En cuanto a los supuestos que legitiman el tratamiento de datos de carácter personal, recogidos en el artículo 6 del RGPD, se encuentra:

«permitir el tratamiento cuando sea necesario para el cumplimiento de una misión realizada en interés público».

Por consiguiente, y en cuanto a que la finalidad de la videovigilancia sea garantizar la seguridad de las personas, bienes e instalaciones, dicho tratamiento puede venir legitimado por un interés público, o por un interés legítimo.

PROPORCIONALIDAD

El RGPD recoge el principio de limitación de la finalidad en su artículo 5, y dispone que:

«los datos personales recogidos con fines determinados, explícitos y legítimos, no serán tratados posteriormente de manera incompatible con dichos fines».

Es decir, que los datos que se obtengan a través de la videovigilancia serán tratados para la finalidad que ha motivado la instalación de la cámara y que está dirigida a garantizar la seguridad de personas, bienes e instalaciones.

Asimismo, otro de los principios recogidos en el artículo 5 del RGPD es el de minimización de los datos:

«los datos personales serán adecuados, pertinentes y limitados a lo necesario, en relación con los fines para los que son tratados».

• Sin duda, existen espacios en los que podría ser desproporcionada la utilización de la videovigilancia. Por ejemplo, en vestuarios, taquillas y zonas de descanso de los trabajadores.
• De la misma manera, este principio también se proyecta a través del número y tipo de cámaras que se pretenda utilizar.
• No es lo mismo la captación de imágenes a través de una cámara fija que la realizada a través de cámaras que permiten grabaciones de 360 grados.
• Por ejemplo, una opción para aplicar el principio de minimización es el uso de “máscaras de privacidad” de forma que se evite gravar y captar imágenes excesivas.

RESPONSABILIDAD PROACTIVA

Finalmente, el ya mencionado artículo 5 del RGPD recoge este concepto como principio esencial del tratamiento de datos personales.

Consiste en la capacidad del responsable de proporcionar y demostrar evidencias de dicho cumplimiento.

Con relación a este principio, el RGPD establece un catálogo de medidas de responsabilidad proactiva que el responsable, y en ocasiones el encargado del tratamiento, deben aplicar para garantizar que los tratamientos son conformes al Reglamento europeo, estas son:

• Delegado de protección de datos.
• Registro de actividades de tratamiento.
• Análisis de riesgos.
• Medidas de seguridad.
• Evaluación de impacto en la protección de datos.
• Privacidad desde el diseño y por defecto.

Por otra parte, se debe de tener en cuenta lo siguiente:

• Las relaciones entre responsable y encargado del tratamiento de imágenes.
• La conservación de imágenes.
• Los derechos de las personas.
• La comunicación de imágenes a terceros.

RELACIONES ENTRE RESPONSABLE Y ENCARGADO DEL TRATAMIENTO DE IMÁGENES.

Normalmente, es una empresa externa la que realiza la instalación y mantenimiento de los equipos, con acceso acceso a las imágenes.

En este caso, la empresa de seguridad será un encargado de tratamiento, y quien la contrata, será el responsable del tratamiento

En consecuencia, existe un deber de diligencia en la elección del encargado.

El acceso por cuenta de terceros (empresa de seguridad) a las imágenes de las cámaras, distintos del responsable del tratamiento, deberá estar regulado por la existencia de un contrato en el que se establezca:

• el objeto
• la duración
• la naturaleza
• la finalidad del tratamiento
• el tipo de datos personales
• categorías de interesados
• las obligaciones y derechos del responsable.

Es todo caso, el responsable debe elegir un encargado del tratamiento que:

• ofrezca garantías suficientes respecto a la implantación y mantenimiento de las medidas técnicas y organizativas apropiadas (RGPD).
• garantice la protección de los derechos de las personas afectadas.

CONSERVACIÓN DE IMÁGENES

Desde la aplicación del RGPD el 25 de mayo de 2018, la mayor parte de la  Instrucción 1/2006Vista previa del enlace añadida por la extensión vLex  ha quedado desplazada.

Sin embargo, lo dispuesto en su artículo 6 puede considerarse que sigue en vigor.

Este artículo regula el plazo de conservación y establece que:

Se produzca la supresión de las imágenes en el plazo máximo de un mes, salvo en aquellos supuestos que se deban conservar para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones.

DERECHOS DE LAS PERSONAS

En general, los derechos que los afectados pueden ejercitar ante los responsables y encargados son:

• acceso
• rectificación
• supresión
• oposición
• limitación del tratamiento
• portabilidad
• impugnación de decisiones individuales automatizadas.

Sin embargo, el ejercicio de estos derechos debe ser matizado en el ámbito de la videovigilancia, pues no resulta aplicable:

• El derecho de rectificación. Por la naturaleza de las imágenes (datos personales) se trata del ejercicio de un derecho de contenido imposible.
• El derecho a la portabilidad, ya que la legitimación no se basa ni en el consentimiento ni en la ejecución de un contrato.
• El derecho a la limitación del tratamiento, en su aspecto de “cancelación cautelar” vinculado al ejercicio de los derechos de rectificación y oposición.

En consecuencia, los que Si serán aplicables son los derechos de acceso, supresión y limitación del tratamiento (éste último en su otra vertiente, es decir, que se solicite al responsable que conserve las imágenes).

COMUNICACIÓN DE IMÁGENES A TERCEROS

La legitimación para comunicar estos datos la encontramos en el art. 2.2.d) del RGPD.

En el ámbito de la videovigilancia este tipo de comunicaciones ocurren con bastante frecuencia, sin consentimiento del afectado, en los siguientes casos:

Primero

Cuando la comunicación de imágenes tiene por destinatarios a los Jueces y Tribunales. La legitimación para comunicar estos datos es el cumplimiento de una obligación legal, en base a lo recogido en el artículo 236 de la Ley Orgánica del Poder Judicial.

Segundo

Cuando las Fuerzas y Cuerpos de Seguridad soliciten las grabaciones en aquellos supuestos que son necesarios para la prevención de un peligro real:

• para la seguridad pública
• para la represión de infracciones penales.

El citado artículo 22 del RGPD determina su no aplicación al tratamiento de datos personales por parte de las autoridades competentes con fines de:

• prevención.
• investigación.
• detección o enjuiciamiento de infracciones penales.
• ejecución de sanciones penales.

CONCLUSIONES

Todo aquel que cuente con cámaras de videovigilancia debe:

• Documentarlo en el RAT (Registro de actividades de tratamiento).
• Cumplir con el deber de información  colocando distintivos en lugar visible, con la información específica del responsable del tratamiento, para dar a conocer la existencia de cámaras de videovigilancia.
• No grabar imágenes de espacios públicos de no ser algo inevitable debido a su ubicación o que sea imprescindible para la finalidad de la grabación.
• No obtener imágenes de espacios íntimos, como lavabos, taquillas o vestuarios.
• Tomar medidas de seguridad respecto a la recogida de las imágenes y recuperación de las grabaciones. Por ejemplo, una contraseña.
• No almacenar las grabaciones más de 30 días.
• Dejar a disposición judicial imágenes o grabaciones que contengan incidencias o delitos.

La entrada VIDEOVIGILANCIA EN EL RGPD. I se publicó primero en Gestiona Abogados.