La instalación de cámaras de videovigilancia implica el tratamiento de datos personales, puesto que la imagen que permite identificar a una persona, se considera dato personal, pero ¿cómo influye en la videovigilancia el RGPD? ¿Qué debe tener en cuenta una empresa o negocio a la hora de instalar un sistema de cámaras en el centro de trabajo o en su local?
La videovigilancia en el RGPD
La captación de imágenes de personas que permita su identificación a través de los sistemas de videovigilancia, es un tratamiento de datos personales e implica cumplir no solo con la legislación sobre cámaras de videovigilancia, sino también con la normativa de protección de datos, es decir, el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales (LOPDGDD), ya que de no hacerlo, estaríamos expuestos a recibir sanciones por cámaras de videovigilancia desde la AEPD (Agencia Española de Protección de Datos).
Por lo tanto, la relación entre el RGPD y la videovigilancia es clara y hay una serie de principios y obligaciones que cualquier empresa o negocio, e incluso particulares, que vayan a instalar sistemas de videovigilancia deben tener en cuenta, para cumplir con la legalidad vigente (la única excepción sería para cámaras de seguridad que solo graben el interior de una vivienda particular y a cuya imágenes solo pueda acceder el propio dueño del domicilio, en cuyo caso, hablamos de uso doméstico y, por tanto, el RGPD y la LOPDGDD no son de aplicación).
– Legitimación del tratamiento
Como todo tratamiento de datos personales, la videovigilancia debe tener una base jurídica que la legitime; en este caso esa legitimación se puede apoyar en la letra f del artículo 6 del RGPD, «el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento», siendo ese interés legítimo la protección y seguridad de los bienes y personas, así como el control del cumplimiento de las obligaciones laborales de los trabajadores, en el supuesto de que las cámaras instaladas en un centro de trabajo tengan esa finalidad también.
Ahora bien, esto no implica que el responsable del tratamiento (la empresa, el dueño del negocio, la comunidad de propietarios, etc.) pueda poner las cámaras de videovigilancia donde quiera, puesto que hay unos límites, aquellos marcados por los derechos y libertades fundamentales de los interesados, en el caso de la videovigilancia, el derecho al honor, la intimidad y la propia imagen.
– Principio de proporcionalidad
La proporcionalidad implica, por un lado, que la instalación del sistema de videovigilancia era la opción menos invasiva para alcanzar la finalidad perseguida. Y, por otro lado, que los datos personales (las imágenes) solo se usarán con el fin especificado por el responsable del tratamiento (la seguridad de bienes y personas y/o el control de las obligaciones laborales) y no para otros fines distintos.
Además, también implica que las cámaras no podrán colocarse en lugares en los que se presuma privacidad e intimidad, como pueden ser, por ejemplo, vestuarios, zonas comunes como el comedor o baños, ya que se consideraría una intrusión en la intimidad de las personas.
– Principio de transparencia
El principio de transparencia del RGPD aplicado a la videovigilancia implica que el responsable del tratamiento debe cumplir con el deber de informar a los interesados de que sus datos van a ser tratados, por quién van a ser tratados (identificación del responsable del tratamiento), qué derechos pueden ejercer sobre ellos y a través de qué vía (nos referimos a los derechos ARCO).
Para cumplir con el principio de transparencia y ese deber de informar, el responsable del tratamiento debe colocar el correspondiente cartel de zona de videovigilancia, con la información que hemos citado en el párrafo anterior. El cartel debe estar colocado en cada uno de los accesos a la zona videovigilada y ser claramente visible. Además, en el cartel debería incluirse una dirección de Internet dónde poder encontrar el resto de información relativa al tratamiento de datos personales (y que no figure en el cartel), así como tener a disposición de los interesados un documento con esa información.
Cumplir con el deber de informar es fundamental en lo que respecta a la videovigilancia, puesto que es uno de los tratamientos de datos personales que no requiere cumplir con la obligación de recabar el consentimiento RGPD, es decir, no es necesario tener el consentimiento expreso de los interesados para tratar las imágenes del sistema de videovigilancia, pero sí que se debe informar sobre dicho tratamiento siempre.
– Principio de minimización
En relación con la proporcionalidad, el principio de minimización aplicado a la videovigilancia implica que el tratamiento de las imágenes debe ser el mínimo necesario para cumplir con la finalidad perseguida, por lo que no se deben colocar cámaras que invadan la privacidad de los interesados y quienes pueden ver las cámaras de seguridad deben ser las mínimas personas posibles.
En el supuesto de una empresa que contrate la instalación y control de cámaras a una empresa de seguridad, solo el personal autorizado por esta última podrá tener acceso a las imágenes de las cámaras de videovigilancia.
Además, las cámaras de videovigilancia nunca deben grabar la vía pública (esto solo pueden hacerlo los sistemas de videovigilancia de las Fuerzas y Cuerpos de Seguridad del Estado y aquellos autorizados por razones de seguridad pública).
Así mismo, este principio de minimización de los datos también afecta al plazo de conservación, que en el caso de las imágenes de videovigilancia es de 30 días, con la única excepción de que las imágenes deban ser preservadas por más tiempo en el caso de ser necesarias para una investigación policial o judicial (las imágenes se conservarán con las medidas de seguridad adecuadas y durante el tiempo que sea necesario).
– Seguridad y confidencialidad de las imágenes
La aplicación del RGPD en la videovigilancia también requiere que se garantice la seguridad y confidencialidad de las imágenes, es decir, que solo podrán acceder a ellas las personas autorizadas y que se aplicarán las medidas de seguridad técnicas y organizativas necesarias para asegurar que terceros no autorizados no puedan acceder a ellas.
Para ello, el responsable del tratamiento debe cumplir con una serie de obligaciones, como son incluir la videovigilancia en el registro de actividades de tratamiento, realizar los correspondientes análisis de riesgos y evaluaciones de impacto y, en el caso de que la videovigilancia se lleve a cabo a gran escala (como puede ser el control de cámaras de un centro comercial), designar un Delegado de Protección de Datos (DPO).
Así mismo, las imágenes captadas por los sistemas de videovigilancia no deben publicarse ni ser visionadas por terceros no autorizados (por ejemplo, los vecinos de una comunidad de propietarios no pueden acceder a las imágenes de las cámaras de seguridad de la finca, salvo que puedan alegar un motivo justificado, como puede ser esclarecer un incidente).
– Responsables y encargados del tratamiento
En lo que respecta a videovigilancia y RGPD es necesario establecer quién es el responsable del tratamiento y quién el encargado del tratamiento cuando se contratan los servicios de una empresa de seguridad que no solo se ocupe de la instalación y mantenimiento del sistema, sino también de supervisar las imágenes captadas por este (tanto si es tiempo real a través de circuitos de CCTV, como si las imágenes se visualizan en una central de alarmas).
Cuando una empresa u otro tipo de organización contrata a una empresa de seguridad para supervisar las imágenes del sistema de videovigilancia, el responsable del tratamiento es la empresa que contrata y el encargado del tratamiento la empresa de seguridad, por lo que es necesario que ambos firmen un contrato de encargo del tratamiento, en el que el responsable fijará las condiciones y obligaciones para dicho tratamiento.
Cuando la empresa de seguridad es contratada por una persona física para la videovigilancia de su domicilio, entonces la empresa de seguridad será el responsable del tratamiento.
Así influye el RGPD en la videovigilancia, estableciendo una serie de obligaciones que cualquier empresa o negocio que instala cámaras de seguridad en su centro de trabajo o local comercial, debe cumplir, siempre respetando los límites que marcan los derechos y libertades fundamentales de los interesados y garantizando que las imágenes captadas estarán debidamente protegidas y no se usarán con otros fines.