Tratamiento de datos con fines de videovigilancia

¿Qué régimen se aplica al tratamiento con fines de videovigilancia?

El tratamiento de datos personales con fines de videovigilancia por el responsable del tratamiento, ya sea una persona física o jurídica, pública o privada, queda sujeto a las condiciones de legitimación previstas en el artículo 22 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Este artículo indica, específicamente, que el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones podrá ser realizado por dicho responsable del tratamiento, lo que tendrá que cumplir con las condiciones de legitimación previstas en dicho artículo, es decir, conforme a la normativa aplicable en materia de protección de datos. Es necesario tener en consideración que el tratamiento se refiere tanto a la imagen como al sonido, es decir, a la voz del afectado.

¿Es lícita la captación de imágenes y sonidos en vía pública?

En relación con la captación de imágenes en vía pública es necesario tener en consideración, en primer lugar, que, con carácter general, la captación de imágenes en vía pública solo será lícita en la medida en que sea necesaria para preservar la seguridad de personas, bienes e instalaciones. No obstante, únicamente será posible captar una extensión superior de la vía pública cuando sea necesario para garantizar la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte, si bien esta excepción está limitada en el sentido de que, en cualquier caso, queda prohibido captar imágenes del interior de un domicilio privado.

Cuando la captación de imágenes y sonidos en vía pública se lleve a cabo por Fuerzas y Cuerpos de Seguridad y por los órganos competentes para la vigilancia y control en los centros penitenciarios y para el control, regulación, vigilancia y disciplina del tráfico debe llevarse a cabo conforme a lo previsto en los arts. 15 y ss. de la Ley Orgánica 7/21, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales. Estos preceptos regulan el principio de proporcionalidad que ha de regir en la instalación de sistemas de grabación de imágenes y sonidos; así como los requisitos para la instalación tanto de sistemas fijos y dispositivos móviles. En concreto, esta norma prevé, con respecto al principio de limitación del plazo de conservación de los datos de carácter personal tratados, un plazo máximo de conservación de las imágenes obtenidas por los sistemas de videovigilancia de 3 meses desde su obtención, frente a la regla general de un mes del RGPD.

En otros supuestos diferentes a estos últimos deberá atenderse, por una parte, a la legislación específica aplicable y supletoriamente al Reglamento (UE) 2016/679, de 27 de abril de 2016 (en adelante, RGPD) y a la LOPDGDD. Y en el caso de las actividades de seguridad privada deberá atenderse también a lo previsto en la Ley 5/2014, de 4 de abril, de Seguridad Privada y sus disposiciones de desarrollo.

¿En qué consiste el deber de información al afectado?

En el apartado 4 del artículo 22 de la LOPDGDD indica que se entenderá cumplido el deber de información cuando el responsable del tratamiento coloque un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos en protección de datos. En dicho dispositivo, o cartel informativo, se podrá incluir también un código de conexión o dirección de internet a esta información.

Sin perjuicio de lo anterior, el citado apartado termina señalando que, en cualquier caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el RGPD.

En relación con este deber de información, es necesario tener en consideración que la Agencia Española de Protección de Datos publicó un nuevo cartel informativo, adaptado al RGPD. En este cartel informativo para zonas videovigiladas está previsto que se incluya información relativa a la identidad del responsable del tratamiento, ante quién ejercitar los derechos de protección de datos y un último apartado para incluir más información sobre el tratamiento de los datos personales donde podría incluirse también una dirección de Internet donde consultar la información completa sobre el tratamiento de los datos personales.

¿Cómo se deben conservar los datos y cuándo se deben suprimir?

Como indica la Agencia Española de Protección de Datos (AEPD) en su Guía sobre el uso de videocámaras para seguridad y otras finalidades, la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras, queda desplazada por el RGPD prácticamente en su totalidad, si bien puede considerarse que queda en vigor lo dispuesto en el artículo 6 de la citada instrucción que regula el plazo de conservación, y que se refiere a que se produzca la cancelación de imágenes en el plazo máximo de un mes.

En este sentido, el apartado 3 del artículo 22 de la LOPDGDD indica que, transcurrido el plazo de un mes desde la captación de las imágenes, éstas deberán ser suprimidas, con la única excepción de que tengan que conservarse por más tiempo por ser necesario para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. Al respecto, se especifica también que las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación.

En este caso, es decir, por lo que se refiere a la supresión de los datos tratados en sistemas de cámaras o videocámaras, no es aplicable la obligación de bloqueo de los datos personales establecida en la LOPDGDD, de manera que el responsable procederá a la supresión de los datos personales sin tener que bloquearlos. En relación con esta cuestión, la AEPD, en la guía citada, explica que una interpretación acorde con el RGPD, ya que este no contempla la cancelación sino la supresión, supone que ese plazo de conservación de máximo de un mes no será de cancelación sino de supresión.

¿Cuáles son los límites de la videovigilancia en el ámbito laboral?

Si la obtención de datos personales a través del uso cámaras o videocámaras se produce en el ámbito laboral, el apartado 8 del artículo 22 de la LOPDGDD remite al artículo 89, relativo al derecho a la intimidad de los trabajadores frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajo.

El artículo 89 LOPDGDD prevé que la empresa pueda llevar a cabo dicho tratamiento para el ejercicio de las funciones de control de los trabajadores, sobre la base del artículo 20.3 del Estatuto de los Trabajadores, o, en su caso, de empleados públicos, en virtud de la legislación de función pública. En ambos casos, para que el tratamiento de los datos sea lícito, será necesario que las funciones de control se ejerzan dentro de su marco legal y con los límites inherentes al mismo.

También, será necesario que el empleador informe con carácter previo, y de forma expresa, clara y concisa, a los trabajadores o los empleados públicos y, en su caso, a sus representantes, acerca de esta medida. Al respecto, cuando se haya captado la comisión flagrante de un acto ilícito por los trabajadores o los empleados públicos, la obligación de información se dará por cumplida cuando exista un cartel informativo en lugar suficientemente visible que incluya, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercer los derechos, pudiendo incluirse también un código de conexión o dirección de internet a esta información, tal como indica el artículo 22.4 de la LOPDGDD.

El apartado 3 del artículo 89 de la LOPDGDD se refiere a sistemas similares a los de cámaras y videocámaras que permitan grabar sonidos, que únicamente serán admisibles en el lugar de trabajo cuando, por una parte, los riesgos para la seguridad de las instalaciones, bienes y personas derivados de la actividad que se desarrolle en el centro de trabajo sean relevantes y, por otro lado, se respete el principio de proporcionalidad, el de intervención mínima y las garantías previstas en los apartados anteriores. Y, finalmente, remitiéndose al artículo 22.3 de la LOPDGDD, se indica que la supresión de los sonidos conservados por estos sistemas de grabación se llevará a cabo en el plazo máximo de un mes, a contar desde su captación, salvo que su conservación sea necesaria para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones.

Por último, el Grupo de Trabajo del artículo 29 (GT29), ahora incorporado al Comité Europeo de Protección de Datos, publicó el Dictamen 2/2017 sobre el tratamiento de datos en el trabajo, WP 249, adoptado el 8 de junio de 2017, en el que indica que, entre otras. el uso de tecnologías de reconocimiento facial resulta desproporcionado en el ámbito laboral, salvo excepciones específicas.

¿Se exceptúan las imágenes captadas con fines exclusivamente personales o domésticos?

Una excepción relevante al régimen aplicable al tratamiento de datos a través de sistemas de cámaras o videocámaras es la relativa al tratamiento efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas. En concreto, el apartado 5 del artículo 22 de la LOPDGDD indica que se considera excluido de su ámbito de aplicación el tratamiento por una persona física de imágenes que solamente capten el interior de su propio domicilio.

Al respecto, resulta relevante la sentencia del Tribunal de Justicia de la Unión Europea, de 11 de diciembre de 2014, en el caso Ryneš, asunto C-212/13, en el que sobre el concepto de ejercicio de actividades exclusivamente personales o domésticas únicamente se aplica al tratamiento de datos personales cuando éste se efectúa en la esfera exclusivamente personal o doméstica de quien procede al tratamiento de datos (apartado 31), de manera que no puede considerarse como tal vigilancia por videocámara como la controvertida en el litigio principal se extiende, aunque sea en parte, al espacio público, abarcando por ello una zona ajena a la esfera privada de la persona que procede al tratamiento de datos valiéndose de ese medio, tal vigilancia por videocámara no puede considerarse (apartado 33).

¿Qué establece la Guía de la Agencia Española de Protección de Datos?

La Agencia Española de Protección de Datos (AEPD) publicó, en 2018, una Guía sobre el uso de videocámaras para seguridad y otras finalidades. En esta guía la AEPD se refiere, en primer lugar, a la legitimación, a la proporcionalidad del tratamiento y las medidas de responsabilidad proactiva para, en segundo lugar, tratar supuestos específicos, tales como el uso de la videovigilancia en infraestructuras críticas, por entidades financieras, comunidades de propietarios, u otros supuestos. La AEPD se refiere también en esta guía a supuestos de no aplicación de la normativa sobre protección de datos.

Por lo que se refiere a los límites de la aplicación de la normativa sobre protección de datos, entre los supuestos de exclusión que menciona la AEPD, cabe señalar el tratamiento de imágenes en el ámbito personal o doméstico, por medios de comunicación o el uso de cámaras simuladas.

• • En el caso del ámbito personal o doméstico, la AEPD indica que el RGPD, debiendo entender hecha la referencia a la demás normativa sobre protección de datos y en particular a la LOPDGDD, no se aplica al tratamiento de imágenes efectuado por una persona física en el ejercicio de actividades exclusivamente personales o doméstica, y también que los límites a esta excepción son aquellos supuestos en los que la información tratada sea puesta en conocimiento de un número indeterminado o indefinido de personas o aquellos casos en los que el tratamiento de estos datos pueda lesionar los derechos e intereses de las personas.
• • En cuanto al tratamiento de imágenes por medios de comunicación, la guía de la AEPD indica, en primer lugar, que La publicación de imágenes en los medios de comunicación supone un ejercicio del derecho a la libertad de expresión e información que les confiere el artículo 20 de la Constitución Española. Y también que, si un afectado considerase lesionado sus derechos por la publicación de imágenes, tendría que acudir a la vía judicial al amparo de lo dispuesto en la Ley Orgánica 1/1982, de 5 mayo.
• • En el caso de las cámaras simuladas, la AEPD señala en su guía que no se produce un tratamiento de datos personales, por lo que no sería aplicable la normativa sobre protección de datos, si bien si se tratara de cámaras reales desactivadas o que pueden ser activadas sin esfuerzos excesivos, deberán aplicarse los principios vigentes en materia de protección de datos personales y la normativa sectorial que resulte de aplicación.

Además, la AEPD ha publicado también otros contenidos en relación con la videovigilancia, pudiendo destacar tanto diversos informes jurídicos, relativos entre otras cuestiones al uso de videocámaras en spas, en tiempo real, en garajes o el uso de drones, así como un cartel de aviso de videovigilancia adaptado al RGPD 2016.