La videovigilancia a través del Reglamento Europeo de Protección de Datos

Ana Marzo. Equipo Marzo Abogados

Aunque no fue técnicamente un olvido, el Reglamento (UE) General de Protección de Datos (en lo sucesivo, RGPD), no propuso ninguna medida de regulación de la videovigilancia (o vigilancia mediante cámaras de seguridad) que sin embargo sí ha contemplado en su texto articulado de forma expresa la Ley Orgánica 3/2018, de 5/12, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), concretamente en su artículo 22.

RGPD
Ana Marzo. Equipo Marzo

La razón por la cual el RGPD no lo contempla, es la obviedad de que la captación de imágenes de personas físicas por sistemas de videocámara, entra en el marco y alcance de lo que de acuerdo con las definiciones contenidas en el RGPD se entiende por «dato de carácter personal» y «tratamiento de datos». Por lo tanto, de conformidad con dichas definiciones, la captación de imágenes de personas físicas, identificadas o identificables, a través de sistemas de videovigilancia, constituye un tratamiento de datos de carácter personal, respecto del cual el responsable del tratamiento ha de dar cumplimiento a todos los principios del RGPD (además del de transparencia o más conocido coloquialmente como principio o deber de información), que es el más evidente.

En este sentido, es en la LOPDGDD donde a través de su título IV se recogen «Disposiciones aplicables a tratamientos concretos», entre los cuales se encuentra dentro de una enumeración no exhaustiva la videovigilancia con fines de seguridad, cuya licitud (o base jurídica de tratamiento) deriva directamente de la existencia de un interés público, en los términos establecidos en el RGPD.

Aunque ni el RGPD ni la LOPDGDD lo indican expresamente, los sistemas de tratamiento de datos a través de videograbaciones están sometidos al principio de seguridad (esto es, tratamiento seguro de las imágenes que contienen los datos personales) y a la necesidad de ser inventariado en el llamado «registro de las actividades del responsable del tratamiento» dado que el riesgo que, para los derechos y libertades de las personas, puede entrañar este tipo de tratamientos.

Cuestiones que aclara la LOPDGDD al respecto del tratamiento de imágenes a través de la videovigilancia, son básicamente las siguientes que a continuación se detallan:

Principio de minimización de datos: debiendo limitarse el tratamiento de las imágenes al mínimo necesario o imprescindible para la finalidad pretendida, por lo que no sólo el número de cámaras deberá limitarse a las necesarias para cumplir la función de vigilancia, sino que también los monitores y el sistema de grabación deberán situarse en lugares vigilados o zonas restringidas, de forma que, en la medida de los posible, no estén expuestos al público.

Esto nos lleva a la siguiente característica que es la confidencialidad de la información: esto es, que las imágenes únicamente resulten accesibles al personal autorizado para controlar los dispositivos de visualización y grabación. Paralelamente, si el acceso se realiza con conexión a Internet se restringirá con un código de usuario y una contraseña, o cualquier otro medio que garantice la identificación y autenticación unívoca, que sólo serán conocidos por las personas autorizadas a acceder a dichas imágenes.

En cuanto a los lugares videovigilados, la LOPDGDD nos recuerda que solo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para preservar la seguridad de las personas, bienes e instalaciones, lo que nos lleva a concluir que solo podrá videovigilarse las zonas perimetrales de la vía pública con una única excepción para ampliar a una extensión superior: cuando fuese necesario para garantizar la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte.

RGPD

Lo que en ningún caso y sin ninguna excepción es posible someter a la videovigilancia (quedando por tanto prohibido) es la captación de imágenes del interior de un domicilio privado o la captación de sonidos o de videovigilancia en lugares destinados al descanso o esparcimiento de los trabajadores o los empleados públicos, tales como vestuarios, aseos, comedores y análogos.

En este punto, las dependencias que se utilizan como vestuario y zona de descanso por el personal inevitablemente afectan al derecho a la intimidad y a la propia imagen de los empleados que usan dicho espacio para esas concretas finalidades que afectan a su intimidad.

En relación con este particular, no hay que obviar que la Ley Orgánica 1/1982, de 5 de mayo, de Protección Civil del Derecho al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen, dispone que tendrán la consideración de intromisiones ilegítimas el emplazamiento en cualquier lugar de aparatos de escucha, de filmación, de dispositivos ópticos o de cualquier otro medio apto para grabar o reproducir la vida íntima de las personas.

Así, el hecho de que la videovigilancia pueda resultar legítima por razones de seguridad de instalaciones, personas y bienes, no implica necesariamente que la recogida y grabación de imágenes en determinados espacios cuyo uso afecta a la intimidad de las personas resulte legítima y proporcionada.

En consecuencia, la instalación de una cámara de videovigilancia en zonas de vestuarios, baños y espacios de descanso de los trabajadores no cumple el principio de minimización de datos y se estima una medida intrusiva para la intimidad de los trabajadores y la protección a su derecho de datos de carácter personal.

El principio de limitación del plazo de conservación obliga a que los datos sean suprimidos en el plazo máximo de un mes desde su captación con una excepción: cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones, de manera que, en tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación.

Finalmente, el principio de transparencia (también conocido como el deber de información según hemos indicado al inicio del artículo) la LOPDGDD lo entiende cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible y como mínimo, en los accesos a las zonas vigiladas ya sean interiores o exteriores.

De haber varios accesos al espacio videovigilado, el reseñado distintivo deberá colocarse en cada uno de los mismos identificando, al menos, la existencia del tratamiento, la identidad del responsable del tratamiento y la posibilidad de ejercitar los derechos de protección de datos.

La norma también prevé que pueda incluirse en el dispositivo o distintivo informativo un código de conexión o dirección de internet a esta información, aunque, hay que tener en cuenta que el dispositivo homologado por la Agencia Española de Protección de Datos incluye la información en el propio cartel.

El resto de información que exige el principio de transparencia (y que permite conocer el contenido del tratamiento de datos con todo su alcance) se puede poner a disposición de las personas interesadas en la indicada dirección de internet o código de conexión (además de la indicada) así como en un folleto o documento a disposición de las personas interesadas.

Este deber de información es un elemento fundamental del cumplimiento de la normativa de protección de datos en el ámbito de la videovigilancia puesto que, a través de su cumplimiento, se garantiza a las personas interesadas la posibilidad de ejercitar sus derechos de protección de datos, incluido el de reclamación ante la autoridad de control, y por tanto es determinante para el control de sus datos por las personas interesadas.

Todos estos requisitos deberán ser adaptados por los responsables de tratamiento a la casuística particular de la videovigilancia aplicada a los distintos supuestos, fines y sectores, con alguna que otra particularidad, como pueden ser espectáculos deportivos, infraestructuras críticas, entidades financieras, joyerías, galerías de arte, entornos escolares, comunidades de propietarios u otros, teniendo en cuenta que hay otros entornos videovigilados con fines distintos a la seguridad, y cada vez más, como pueden ser entornos laborales con fines de prevención de riesgos, control de tráfico, investigación y sanidad, grabaciones de plenos municipales, órganos colegiados de las AAPP y asambleas y otro tipo de eventos en los cuales seguramente habrá que modular la adaptación del RGPD y la LOPDGDD con algún matiz.

Finalmente y aunque a priori hay casos en que no se aplica la normativa de protección de datos (tratamiento de imágenes en el ámbito personal y doméstico, medios de comunicación, cámaras simuladas, promoción turística y fines relacionados), cada vez más pronunciamientos judiciales condicionan este tipo de grabaciones para mantener su excepcionalidad al ámbito regulatorio por lo que, será preciso no perder de vista la jurisprudencia de nuestros juzgados y tribunales al respecto.