La instalación de cámaras de videovigilancia implica el tratamiento de datos personales, puesto que la imagen que permite identificar a una persona, se considera dato personal, pero ¿cómo influye en la videovigilancia el RGPD? ¿Qué debe tener en cuenta una empresa o negocio a la hora de instalar un sistema de cámaras en el centro de trabajo o en su local?
La protección de datos en videovigilancia todavía sigue generando dudas, denuncias y sanciones por parte de la AEPD, por lo que para despejar esas dudas y evitar posibles sanciones para empresas y particulares, hemos elaborado esta guía sobre protección de datos personales en sistemas de videovigilancia, en la que repasamos las claves del RGPD y la LOPD para videovigilancia.
Contenido del artículo
¿Cómo influye la LOPD y el RGPD en videovigilancia?
La captación de imágenes de personas que permita su identificación a través de los sistemas de videovigilancia, es un tratamiento de datos personales e implica cumplir no solo con la legislación sobre cámaras de videovigilancia, sino también con la normativa de protección de datos, es decir, el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales (LOPD-GDD).
Cumplir con la LOPD y el RGPD en videovigilancia supone cumplir con una serie de principios y obligaciones en materia de protección de datos y respeto de la privacidad de las personas que puedan ser captadas por las cámaras de seguridad. En concreto:
- Legitimación del tratamiento:
La videovigilancia debe tener una base jurídica que la legitime; en este caso esa legitimación se puede apoyar en la letra f del artículo 6 del RGPD, «el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento», siendo ese interés legítimo la protección y seguridad de los bienes y personas, así como el control del cumplimiento de las obligaciones laborales de los trabajadores, en el supuesto de que las cámaras instaladas en un centro de trabajo tengan esa finalidad también. Pero tener legitimación del tratamiento no implica que las cámaras puedan colocarse en cualquier sitio, puesto que hay unos límites (de los que hablaremos más adelante).
- Principio de proporcionalidad:
Respetar el principio de proporcionalidad implica, por un lado, que la instalación del sistema de videovigilancia era la opción menos invasiva para alcanzar la finalidad perseguida. Y, por otro lado, que los datos personales (las imágenes) solo se usarán con el fin especificado por el responsable del tratamiento (la seguridad de bienes y personas y/o el control de las obligaciones laborales) y no para otros fines distintos.
- Principio de transparencia:
El principio de transparencia del RGPD aplicado a la videovigilancia implica que el responsable del tratamiento debe cumplir con el deber de informar a los interesados de que sus datos van a ser tratados, por quién van a ser tratados (identificación del responsable del tratamiento), qué derechos pueden ejercer sobre ellos y a través de qué vía (nos referimos a los derechos ARCO o ARSULIPO). Cumplir con este deber es fundamental en lo que respecta a la protección de datos para cámaras de videovigilancia, puesto que es un tratamiento que no requiere cumplir con la obligación de recabar el consentimiento RGPD, es decir, no es necesario tener el consentimiento expreso de los interesados para tratar las imágenes obtenidas con sistemas de videovigilancia.
- Principio de minimización:
En relación con la proporcionalidad, el principio de minimización de los datos aplicado a la videovigilancia implica que el tratamiento de las imágenes debe ser el mínimo necesario para cumplir con la finalidad perseguida, por lo que no se deben colocar cámaras que invadan la privacidad de los interesados, estando prohibido que enfoquen a la vía pública o propiedades privadas colindantes. Así mismo, también establece el tiempo que se guardan las imágenes de las cámaras de seguridad.
- Seguridad y confidencialidad de las imágenes:
La aplicación del RGPD y la LOPD a cámaras de videovigilancia también requiere que se garantice la seguridad y confidencialidad de las imágenes, estableciendo una serie de obligaciones para el responsable del tratamiento (incluir las cámaras en el registro de actividades de tratamiento, realizar los correspondientes análisis de riesgos y evaluaciones de impacto y, en su caso, designar un DPO), así como que quien puede ver las imágenes de una cámara de seguridad sea solo el personal autorizado. Así mismo, también implica notificar a la AEPD y los interesados cuando se produzca una brecha de seguridad que pueda suponer un riesgo para sus derechos y libertades.
- Responsables y encargados del tratamiento:
Es necesario establecer quién es el responsable del tratamiento y quién el encargado del tratamiento cuando se contratan los servicios de una empresa de seguridad que no solo se ocupe de la instalación y mantenimiento del sistema, sino también de supervisar las imágenes captadas por este (tanto si es tiempo real a través de circuitos de CCTV, como si las imágenes se visualizan en una central de alarmas):
- Cuando una empresa u otro tipo de organización contrata a una empresa de seguridad para supervisar las imágenes del sistema de videovigilancia, el responsable del tratamiento es la empresa que contrata y el encargado del tratamiento la empresa de seguridad, por lo que es necesario que ambos firmen un contrato de encargo del tratamiento, en el que el responsable fijará las condiciones y obligaciones para dicho tratamiento.
- Cuando la empresa de seguridad es contratada por una persona física para la videovigilancia de su domicilio, entonces la empresa de seguridad será el responsable del tratamiento.
¿Cómo respetar la protección de datos personales en sistemas de videovigilancia?
A la hora de respetar la protección de datos para cámaras de seguridad y cumplir con los principios y obligaciones descritos en el punto anterior, lo primero es diferenciar entre empresas y negocios y particulares, puesto que las obligaciones en materia de protección de datos que afectan a los sistemas de videovigilancia son ligeramente diferentes para unos y para otros.
Lo segundo es tener en cuenta la finalidad de las grabaciones (esto especialmente en el ámbito laboral) y la ubicación de las mismas (con especial atención a las cámaras instaladas por particulares), ya que son aspectos que van a determinar la necesidad o no de cumplir con determinados requisitos.
Aplicar la Lopd a las cámaras de seguridad
Videovigilancia y LOPD para empresas y negocios
En lo que respecta al cumplimiento del RGPD y la LOPD para cámaras de seguridad en empresas y negocios, como responsables del tratamiento se deben cumplir obligaciones y aplicar las siguientes medidas:
- Registro de actividades de tratamiento:
La instalación y uso de cámaras de seguridad deben incluirse en el registro de actividades de tratamiento del responsable o, en su caso, del encargado del tratamiento. El registro se hará con carácter previo a la instalación y puesta en funcionamiento de las cámaras. Este documento de carácter interno debe incluir la siguiente información:
| Responsable del tratamiento | Nombre y datos de contacto |
| Actividad de tratamiento | Videovigilancia |
| Legitimación del tratamiento | Varias opciones en función de la finalidad:
|
| Fines del tratamiento | Varias opciones (que pueden concurrir):
|
| Delegado de Protección de Datos (si procede) | Nombre y datos de contacto |
| Categorías de datos personales | Imagen |
| Categorías de afectados | Clientes, empleados, proveedores, ciudadanos, etc. |
| Medidas de seguridad | Descripción de las medidas técnicas y organizativas de seguridad adoptadas |
| Categorías de destinatarios de comunicaciones de datos | Empresa de seguridad (si procede), FF. y CC. de Seguridad, Juzgados y Tribunales |
| Transferencias internacionales | No existen (como regla general) |
| Plazo previsto para la supresión de imágenes | Transcurrido un mes, salvo comunicación a FF. y CC. de Seguridad y/o Juzgados y Tribunales |
- Informar a los interesados:
Se informará a los interesados de la presencia de las cámaras y su finalidad, colocando para ello el correspondiente cartel de protección de datos para videovigilancia en cada punto de acceso. Como mínimo, el cartel contendrá la siguiente información:
-
- Identidad del responsable del tratamiento y datos de contacto
- La posibilidad de ejercer los derechos ARSULIPO (acceso, rectificación, supresión, limitación, portabilidad y oposición)
- Finalidad del tratamiento
- Dónde obtener más información sobre el tratamiento de datos personales (recepción, página web, etc.).
- Ubicación de las cámaras:
En el centro de trabajo las cámaras no podrán colocarse en zonas en las que se presuma intimidad, es decir, en zonas comunes para los empleados (como comedores o zonas de esparcimiento o descanso), vestuarios o baños. Y si las cámaras están colocadas en puntos de acceso, solo deberán grabar la franja mínima indispensable de la vía pública.
En el caso de que por el ángulo y colocación capten una parte mayor de la calle, se deberán aplicar máscaras de privacidad en las cámaras. Así mismo, se prohíbe la instalación de cámaras ocultas (salvo que existan sospechas muy fundadas de que se está cometiendo un delito y esa sea la única forma de recabar pruebas) y la captación de sonido, es decir, que no se pueden grabar las conversaciones de empleados o clientes.
- Medidas de seguridad:
El responsable o encargado del tratamiento deberá adoptar las medidas técnicas y organizativas de seguridad necesarias para garantizar la confidencialidad, integridad y disponibilidad de las imágenes captadas y guardadas por las cámaras de seguridad, para lo que, con carácter previo, deberá haber realizado un análisis de riesgos y (si procede) una evaluación de impacto en la protección de datos.
- Acceso a las imágenes:
El acceso a las imágenes de las cámaras de seguridad se limitará al responsable o encargado del tratamiento y el personal autorizado por estos. Así mismo, en el caso de sistemas de CCTV en tiempo real, los equipos de monitoreo estarán ubicados en áreas de acceso restringido para cualquier persona ajena al personal de seguridad. El acceso a las imágenes almacenadas estará protegido mediante usuario y contraseña.
- Plazo de conservación:
El plazo de conservación de las imágenes de las cámaras de videovigilancia es de un mes. Solo podrán conservarse (aplicando las correspondientes medidas de seguridad y bloqueo) en el caso de que sean pruebas de un incidente o delito, en cuyo caso, deberán ponerse en manos de la policía o el juzgado.
Así mismo, también deberán conservarse si una persona las solicita como prueba de un incidente o acto delictivo que haya podido sufrir.
- Control de empleados:
Si las cámaras de seguridad también se van a usar para el control del cumplimiento de las obligaciones laborales de los trabajadores, estos deben ser informados de dicha finalidad (de no hacerlo, las imágenes captadas podrían no ser usadas en procesos disciplinarios internos). En este caso no será necesario el consentimiento de los empleados para instalar las cámaras de videovigilancia. Y, como ya indicamos más arriba, las cámaras no podrán grabar audio.
- Designar un DPO:
Las empresas y negocios que cuyos sistemas de videovigilancia resulten en un tratamiento de datos personales a gran escala, deberán designar o contratar un Delegado de Protección de Datos (sería el caso, por ejemplo, de un centro comercial).
Cámaras de seguridad y LOPD para particulares
Para ayudaros a cumplir con la normativa de protección de datos en cámaras de videovigilancia instaladas por particulares, repasamos los aspectos clave a tener en cuenta en los supuestos más habituales:
- Cámaras de vigilancia en casas:
- Cuando las cámaras se instalan en el interior de la casa, se considera un uso personal o doméstico, por lo que no es de aplicación el RGPD y la LOPD en cámaras de vigilancia colocadas en el interior de viviendas particulares.
- En caso de que las cámaras capten y graben zonas comunes o por las que pueda transitar otras personas (sería el caso, por ejemplo, de una servidumbre de paso), sí habrá que cumplir con las obligaciones de información, registro de actividades de tratamiento, medidas de seguridad y acceso a las imágenes y plazo de conservación.
- Las cámaras instaladas en la fachada de las casas, jardines u otra localización externa no podrán apuntar a la vía pública (salvo la franja mínima indispensable en el caso de los accesos) ni a otras viviendas o propiedades colindantes, ni siquiera en el caso de que no estén operativas, ya que se considera que su presencia podría invadir el derecho a la intimidad de las personas, al no poder saber estas si las cámaras graban o no, afectando su privacidad.
- Cámaras de seguridad en comunidades de propietarios: Para la instalación de cámaras de seguridad en la comunidad de vecinos, es necesario el acuerdo de la Junta de Propietarios, que habrá de quedar registrado en las correspondientes actas de la Junta. Es recomendable que en el acuerdo se reflejen las características del sistema de videovigilancia (número de cámaras, ubicación de las mismas, etc.). El responsable del tratamiento será la comunidad de propietarios. Si contrata los servicios de una empresa de seguridad para la supervisión de las cámaras, esta será el encargado del tratamiento, con el que deberá firmar el correspondiente contrato de encargo. Así mismo, se cumplirán las siguientes obligaciones:
- Informar a los interesados mediante los carteles de zona videovigilada correspondiente.
- Elaborar el registro de actividades de tratamiento.
- Aplicar las medidas de seguridad necesarias y limitar el acceso a las imágenes de las cámaras de seguridad al personal autorizado. En caso de que sea la propia comunidad la que supervise las imágenes, solo deberían tener acceso a ellas el presidente y, en su caso, la gestoría que se encargue de la administración de la comunidad.
- Suprimir las imágenes pasado un mes desde su captación.
- Colocar las cámaras solo en las zonas comunes de la propiedad. Si se usan cámaras orientables o con zoom, deberá aplicarse una máscara de privacidad para evitar la captación de la vía pública, terrenos y viviendas de terceros.
- No difundir o publicar las imágenes captadas con las cámaras, ni entre los vecinos de la comunidad ni de forma pública.
- Cámaras de vigilancia en plazas de garaje:
- Si las cámaras de vigilancia se instalan por la comunidad de vecinos en el garaje comunitario, se deberán cumplir con las obligaciones citadas arriba.
- Si las cámaras las pone un particular en el garaje comunitario, tendrá que cumplir con estas obligaciones:
- Contar con la autorización de la Junta de Propietarios, que deberá constar en las actas correspondientes.
- Elaborar el registro de actividades de tratamiento.
- Informar de la presencia de la cámara con el correspondiente cartel informativo.
- No captar imágenes de otras plazas de garaje o vehículos ajenos.
- Captar el espacio mínimo posible fuera de la plaza de garaje. En caso de que no se pueda evitar captar una zona por la que pase gente habitualmente, aplicar máscaras de privacidad en la cámara.
- Limitar el acceso a las imágenes mediante usuario y contraseña.
- No difundir ni publicar las imágenes.
Límites y permiso para instalar cámaras de seguridad
La Ley de Seguridad Privada y la LOPD establecen límites al uso de las cámaras de videovigilancia privadas, como es la ubicación de las cámaras, que debe siempre evitar captar imágenes de la vía pública y/o terrenos y viviendas o propiedades de terceros.
Así mismo, como ya dijimos, las cámaras no pueden colocarse en zonas en las que se presuma privacidad e intimidad. Y tampoco pueden grabar audio.
Además, la instalación de cámaras ocultas está completamente prohibida, salvo que, como ya dijimos, se tengan muy fundadas sospechas de que se está cometiendo algún ilícito y esta sea la única forma de recabar pruebas.
En cuanto al permiso para instalar cámaras de seguridad, este será necesario cuando un vecino quiera instalar una cámara que pueda captar imágenes de las zonas comunes de la comunidad. Para ello deberá contar con la aprobación de la mayoría de la Junta de Propietarios.
Empresas y negocios, siempre que las cámaras cumplan con los requisitos legales explicados en puntos anteriores y respeten los límites establecidos por la ley, no necesitan solicitar ningún permiso para instalar sistemas de videovigilancia en su interior.
Incumplimiento de protección de datos en cámaras de seguridad
El incumplimiento de protección de datos en cámaras de seguridad puede acabar en denuncia ante la AEPD y la correspondiente sanción por vulnerar la privacidad de las personas. En algunos casos, incluso podría suponer tener que pagar una indemnización para los afectados, si se prueba que la presencia de la cámara ha supuesto una vulneración de sus derechos fundamentales y les ha ocasionado un daño o perjuicio moral o material.
Las sanciones por cámaras de videovigilancia pueden alcanzar hasta los 20 millones de euros; la cuantía dependerá de la gravedad de la infracción cometida, del número de personas afectadas, la duración en el tiempo y de qué tipo de responsable del tratamiento hablemos (si empresa o particular), las horquillas son las siguientes:
- Para infracciones leves (art. 74): Multas hasta 40.000 euros.
- Para infracciones graves (art. 73): Multas de 40.001 a 300.000 euros.
- Para infracciones muy graves (art. 72): Multas de 300.001 a 20 millones de euros (o el 4% de la facturación anual, la cantidad que resulte mayor).
Además, también se podrán aplicar otras medidas como la retirada de las cámaras o su ubicación en otro lugar.
Esperamos que esta guía de protección de datos y videovigilancia os haya aclarado cualquier duda respecto al uso e instalación de cámaras de seguridad y cómo debe procederse para aplicar y cumplir con la normativa.
Pero si aún tienes dudas o necesitas adaptar tu empresa o negocio al RGPD y la LOPD, no dudes en ponerte en contacto con Atico34, te ayudaremos a resolver cualquier duda sobre videovigilancia y cualquier otro tratamiento de datos personales que realices en tu empresa o negocio, para que cumplas completamente con la ley.
