Nuevas directrices de la Agencia Española de protección de datos en materia de uso de videocámaras para la seguridad y otras finalidades

Nuevas directrices de la Agencia Española de protección de datos en materia de uso de videocámaras para la seguridad y otras finalidades

La imagen de una persona en la medida que identifique o pueda identificar a la misma constituye un dato de carácter personal, que puede ser objeto de tratamiento para diversas finalidades.

Si bien la finalidad más común consiste en utilizar las cámaras con la finalidad de garantizar la seguridad de personas, bienes e instalaciones, también pueden usarse con otros fines, como la investigación, la asistencia sanitaria o el control de la prestación laboral por los trabajadores.

Al suponer un tratamiento de datos de carácter personal atendiendo a los fines descritos, salvo que sea de aplicación la denominada excepción doméstica, este tratamiento debe ajustarse a los principios y obligaciones que establece la normativa de protección de datos.

INTRODUCCIÓN Y OBJETO

Con motivo de la reciente publicación de la “Guía sobre el uso de videocámaras para seguridad y otras finalidades» (en adelante «Guía») de la Agencia Española de Protección de Datos (en adelante «AEPD«) desde LETSLAW hemos realizado un resumen con la finalidad de facilitar un resumen con las nuevas directrices que facilita la AEPD para emplear de forma adecuada las videocámaras para seguridad y otras finalidades.

La Guía se estructura de la siguiente forma:

• Tratamiento de imágenes con fines de seguridad.
• Supuestos específicos de tratamiento de imágenes con fines de seguridad.
• Tratamiento de imágenes con fines diferentes a la seguridad.

A continuación, analizaremos brevemente cada uno de ellos.

TRATAMIENTO DE IMÁGENES CON FINES DE SEGURIDAD

La Guía establece que cuando se realiza este tipo de tratamiento, se debe valorar como primer elemento si existe o no legitimación para emplear estos sistemas de captación.

2.1 Legitimación

En este sentido, la Guía hace mención al considerando 45 del Reglamento General de Protección de Datos (en adelante, “RGPD” o “Reglamento General de Protección de Datos”), que establece que, si el tratamiento es necesario para el cumplimiento de una misión realizada en interés público, debe tener una base en el Derecho de la Unión o en el de los Estados Miembros.

A este respecto, hace mención a la normativa aplicable a sectores específicos, tales como la Ley Orgánica por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad del Estado, o la Ley de Seguridad Privada, así como la Ley contra la violencia, el racismo, la xenofobia y la intolerancia en el deporte.

2.2 Proporcionalidad

La Guía regula la cuestión de la proporcionalidad del tratamiento separando cuestiones tales como la limitación de la finalidad, la captación de las imágenes en vía pública y la minimización de datos.

Como norma general establece que los datos deben ser recogidos con fines determinados, explícitos y legítimos y que dichos datos no podrán ser tratados de forma incompatible con las finalidades con las que inicialmente se recabaron.

a) Captación de imágenes de la vía púbica

Le corresponde a las Fuerzas y Cuerpos de Seguridad del Estado, de forma general, la captación de imágenes de la vía pública, conforme se regula en la Ley Orgánica 4/1997 así como su reglamento de desarrollo, si bien cabe alguna excepción:

• Para la protección de espacios privados donde se hayan instalado cámaras en fachadas, puede ser necesario para garantizar la finalidad de seguridad con la grabación de una porción de la vía pública; por lo que, en dichos casos, las cámaras podrían captar la porción mínimamente necesaria para la finalidad de seguridad que se pretende.
• Para la protección instalaciones estratégicas o infraestructuras vinculadas al transporte.
• Para garantizar la seguridad de las personas en instalaciones de índole privado pero que admite el acceso al público en general, como centros comerciales o restaurantes.

b) Minimización de datos

La Guía hace especial referencia al artículo 5 del RGPD que establece el principio de minimización de datos, de forma que este se debe proyectar a través del número de cámaras que se pretenda emplear, el tipo de cámara empleada, etc.

Se sugiere que, en aras de la aplicación del principio de minimización de los datos, se empleen las denominadas “máscaras de privacidad”, que es un término que se aplica cuando se quiere restringir la visualización de una cámara sobre un área específica, de forma que se enmascara parte de la imagen con el fin de evitar la grabación y captación de imágenes excesivas.

c) Derecho de información

Otra de las obligaciones que conlleva el uso de la video vigilancia con fines de seguridad, en relación con la protección de datos, es cumplir con el derecho de información mediante un distintivo informativo como este.

Zona de videovigilancia

d) Encargado de tratamiento: régimen contractual

La Guía establece que el acceso a las imágenes de las cámaras por cuenta de terceros distintos del responsable del tratamiento debe estar regulado en un contrato de encargo.

La AEPD ha publicado varias guías donde analiza en detalle este tipo de contratos, como, la Guía del Reglamento General de Protección de Datos para responsables de Tratamiento o las Directrices para la elaboración de contratos entre responsables y Encargados del Tratamiento.

e) Conservación de las imágenes

Como norma general, para el caso de la conservación de las imágenes puede tenerse como vigente lo dispuesto en la Instrucción 1/2006 que establece que el plazo máximo de conservación de las imágenes es de 1 mes.

f) Comunicación de imágenes a terceros

La Guía dispone que en la mayoría de los casos, las comunicaciones sin consentimiento de los interesados suceden en:

• Cuando la comunicación de imágenes tenga por destinatarios los Jueces y Tribunales. En este caso, existiría legitimación para para la comunicación de los datos ya que dicha comunicación es necesaria para el cumplimiento de una obligación legal, al amparo de lo establecido en el artículo 236 quáter de la Ley Orgánica del Poder Judicial.
• Cuando las Fuerzas y Cuerpos de Seguridad soliciten las grabaciones cuando sea necesario para la prevención de un peligro real para la seguridad pública: En este caso, el artículo 2.2.d) establece que no se aplica al tratamiento de datos personales cuando sean las autoridades competentes quienes lo soliciten, con fines de prevención o investigación.

SUPUESTOS ESPECÍFICOS DE TRATAMIENTO DE IMÁGENES CON FINES DE SEGURIDAD

3.1 Comunidades de propietarios, viviendas y otros supuestos

a) Zonas comunes de comunidades de propietarios

La comunidad de propietarios será en estos casos la responsable del tratamiento, y las cámaras únicamente podrán captar las zonas comunes de la comunidad, no siendo factible la grabación de imágenes de la vía pública, a excepción de la franja mínima necesaria para verificar los accesos al inmueble.

Deben instalarse carteles que informen de que se está accediendo a una zona video vigilada, y se proporcionará la identidad del responsable y la posibilidad de ejercitar los derechos reconocidos en el RGPD.

b) Viviendas unifamiliares

En este caso, si las cámaras se instalan en el interior de la vivienda, no sería aplicable la legislación en materia de protección de datos, pero si se instalan en el exterior y pueden captar imágenes de personas en entradas, fachadas o medianerías, sí les sería de aplicación el RGPD.

La Guía también regula el régimen de las cámaras en las plazas de garaje, video porteros y mirillas digitales.

3.2 Entornos escolares

La Guía establece que la instalación de cámaras de video vigilancia sólo será legítima si la medida es proporcional en relación con la infracción que se pretenda evitar, y en ningún caso como un sistema para llevar a cabo funciones de vigilancia; y hace referencia a las indicaciones que deben tenerse en cuenta a la hora de instalar este tipo de cámaras.

TRATAMIENTO DE IMÁGENES CON FINES DIFERENTES A LA SEGURIDAD

4.1 Centros Educativos

En relación con los festivales de navidad, o eventos similares, la Guía establece que de forma habitual es una actividad que se encuadra en el ámbito personal y, por lo tanto, está fuera del ámbito de aplicación del RGPD.

La misma excepción de no aplicación del RGPD se aplica a la actividad de las RRSS, de forma que cuando se encuentre vinculada a una actividad personal o doméstica, no existiría problema en compartir en dichas RRSS imágenes, si bien sería necesario tener en cuenta lo dispuesto en la Ley Orgánica de protección civil del derecho al honor, la intimidad personal y familiar y la propia imagen, así como la normativa que protege a los menores de edad.

4.2 Sanidad y centros de asistencia

En este sentido, y sin perjuicio de la instalación de cámaras con la finalidad de garantizar la seguridad, podría existir otra finalidad del tratamiento, que sería la de asegurar un tratamiento adecuado de la salud.

La legitimación del tratamiento se fundamentaría en:

• Que el tratamiento sea necesario para proteger los intereses vitales del afectado o de otra persona física (artículo 9.2.c. del RGPD).
• Que el tratamiento sea necesario para fines de medicina preventiva, o diagnóstico médico (artículo 9.2.h. del RGPD).

No obstante, la Guía considera excesivo y por tanto desproporcionado el tratamiento de las imágenes de los pacientes en las habitaciones en formato “streaming” para que los familiares puedan ver en directo el estado de salud de los pacientes.

TRATAMIENTO DE IMÁGENES A TRAVÉS DE TECNOLOGÍAS EMERGENTES

5.1 Cámaras “on board”

La Guía establece que pueden tratarse de dos finalidades distintas:

• Si se trata de imágenes para una finalidad doméstica, no sería de aplicación lo establecido en el RGPD, pero su posterior uso, como por ejemplo para publicarlas en RRSS, sí estaría sujeto a lo establecido en la normativa de protección de datos.
• Las grabaciones con la finalidad de obtener pruebas para determinar responsabilidades asociadas a la producción de un suceso, como obtener fotografías para pruebas en relación con posibles accidentes, estarían permitidas y tendrían su como base jurídica base de tratamiento en el artículo 6.1.f. del RGPD, que regula el interés legítimo, en relación con el derecho a la tutela judicial efectiva.

5.2 Drones

El Grupo de Trabajo del Artículo 29 analizó en su momento las grabaciones realizadas por los drones en su Dictamen 01/2015, de 16 de junio de 2015, que establecían, de forma resumida, lo siguiente:

• La operativa del dron debe cumplir con la normativa aplicable.
• Debe valorarse la posibilidad de realizar una Evaluación de Impacto de la Protección de Datos.
• Debe evitarse captar o tratar datos innecesarios.
• Debe informarse de la forma más apropiada y previa, a los afectados, de todas las cuestiones relativas a la protección de datos (identidad del responsable, finalidades del tratamiento e indicaciones acerca de la forma del ejercicio de los derechos).
• Establecer las medidas de seguridad apropiadas para los riesgos que representan el tratamiento.
• Borrar o anonimizar los datos innecesarios.

En Letslaw contamos con un equipo especializado en materia de protección de datos personales. Desde Letslaw analizamos y revisamos todas las cuestiones sobre esta normativa, al objeto de informar a las empresas sobre las novedades y sus consecuencias tanto en España como en el resto de Europa para evitar que sean sancionadas.

Si quieres información sobre la adaptación al RGPD de tu empresa, y evitar posibles sanciones, puedes consultarnos.