La imagen de una persona en la medida que identifique o pueda identificar a la misma constituye un dato de carácter personal, que puede ser objeto de tratamiento para diversas finalidades. Es usual utilizar cámaras con la finalidad de garantizar la seguridad de personas, bienes e instalaciones o el control de la prestación laboral por los trabajadores.

Este tratamiento de datos de carácter personal debe ajustarse a los principios y obligaciones que establece la normativa de protección de datos.

Nuestra amplia experiencia en el asesoramiento de la esta normativa nos ha permitido elaborar esta pequeña guía que pretende aclarar todas aquellas dudas que nuestros clientes nos han ido planteando en relación con la instalación de cámaras de videovigilancia.

QUIEN DEBE CUMPLIR LA NORMATIVA

El tratamiento de imágenes procedentes de cámaras de videovigilancia exige SIEMPRE el cumplimiento de la normativa de protección de datos personales, con una única excepción.

No está sometido a la normativa de protección de datos el tratamiento de imágenes en el ámbito exclusivamente personal o doméstico por una persona física que sólo capte el interior de su propio domicilio

Sin embargo también será obligatorio su cumplimiento cuando las cámaras puedan captar imágenes de personas en el exterior de la vivienda (entradas, espacios comunitarios, medianerías, etc.)

La contratación de un servicio de videovigilancia externo para la instalación de las cámaras no exime a su titular del cumplimiento de la normativa de protección de datos.

Si existen cámaras instaladas pero desconectadas, no simuladas, cámaras reales que puedan ser activadas sin esfuerzos excesivos, existe la obligación de cumplir la normativa de protección de datos personales.

INSTALACIÓN

Si se utilizan cámaras orientables y/o con zoom será necesaria la instalación de máscaras de privacidad para evitar captar imágenes de la vía pública, terrenos y viviendas de terceros.

El sistema de grabación se ubicará en un lugar vigilado o de acceso restringido. A las imágenes grabadas solo debe acceder la persona autorizada que deberá introducir un código de usuario y una contraseña.

INSTALACIÓN DE CÁMARAS EN LA VÍA PÚBLICA

Como regla general, la captación de imágenes con fines de seguridad de la vía pública debe realizarse por las Fuerzas y Cuerpos de Seguridad.

Sin embargo, existe alguna excepción. En algunas ocasiones para la protección de espacios privados, la instalación cámaras en fachadas o en el interior, puede ser necesario para garantizar la finalidad de seguridad la grabación de una porción de vía pública.

Es decir, solo será posible cuando resulte imprescindible, o resulte imposible evitarlo por razón de la ubicación de las cámaras. En este caso las cámaras podrían captar la porción mínimamente necesaria para la finalidad de seguridad que se pretende.

Se podrían captar imágenes en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes e instalaciones estratégicas (centros comerciales, lugares de ocio, aparcamientos, espectáculos deportivos) o de infraestructuras vinculadas al transporte.

En ningún caso se pueden captar imágenes en baños, vestuarios o lugares análogos, ni de espacios ajenos.

No se podrán utilizar para tomar imágenes ni sonidos del interior de viviendas ajenas, ni de sus vestíbulos, salvo consentimiento del titular o autorización judicial, ni en lugares en lugares públicos, abiertos o cerrados, cuando se afecte de forma directa y grave a la intimidad de las personas, así como tampoco para grabar conversaciones de naturaleza estrictamente privada.

¿Y SI LAS CÁMARAS NO GRABAN?

La utilización de sistemas de videovigilancia que se limiten a una mera reproducción o emisión de imágenes en tiempo real, sin ser grabadas ni almacenadas, exige también el cumplimiento de la normativa de protección de datos personales.

OBLIGACIÓN PROPIA O DE UN SERVICIO EXTERNO

La contratación de un servicio de videovigilancia externo o la instalación de las cámaras por un tercero no exime a su titular del cumplimiento de la normativa de protección de datos. No obstante, si se trata de una empresa de seguridad que gestiona el sistema de videovigilancia en el domicilio de las personas físicas, la empresa será el responsable del tratamiento.

REQUISITOS INSTALACIÓN VIDEOVIGILANCIA

La normativa de protección de datos personales exige ciertos requisitos que se deben cumplir incluso antes de la instalación de las cámaras de videovigilancia.

• Cumplimiento del principios de limitación de la finalidad: los datos que sean obtenidos a través de la videovigilancia deben ser tratados para la única finalidad que ha motivado la instalación de las cámaras.

• Cumplimiento del principio de minimización de datos, es decir, que se obtengan las imágenes estrictamente necesarias para la función para la que fueron instaladas.

• Cumplimiento del principio de proporcionalidad: se debe valorar si el fin perseguido de puede alcanzar de otra forma. También se debe valorar el número de cámaras a instalar, el tipo de cámaras y la opción de utilizar máscaras de privacidad.

• Previamente a su puesta en funcionamiento, se elaborará el registro de actividades referido a este tratamiento.

• En todos los casos se deberá informar de la existencia de un sistema de videovigilancia.

• El responsable deberá adoptar las medidas de seguridad de carácter técnico y organizativo, en función del análisis de riesgos que se haya realizado previamente.

• El responsable deberá informar a quién tenga acceso a las imágenes sobre sus obligaciones de seguridad (reserva, confidencialidad y sigilo) y de su deber de guardar secreto.

• Se deberán adoptar medidas que impidan el acceso a las imágenes por parte de personal no autorizado.

CUANDO ES NECESARIO NOMBRAR UN DPD

El RGPD establece la obligatoriedad de designar un Delegado de Protección de Datos (DPD) en algunos casos por la instalación de cámaras de videovigilancia.

Un DPD debe ser una persona con conocimiento especializado en Derecho y práctica en materia de protección de datos.

Cuando la instalación de las cámara de videovigilancia se produzca con la finalidad de una observación habitual y sistemática de interesados a gran escala es obligatorio tener designado un DPD. Por ejemplo las empresas de seguridad privada, ya que la vigilancia es la actividad principal de la empresa.

Es importante que conozcas que el nombramiento de un DPD debe ser comunicado a la Agencia Española de Protección de Datos para su registro y debe constar en su base de datos, de forma que si tienes obligación de nombrar un DPD ellos pueden comprobar si has realizado el nombramiento.

REQUISITOS DEL CARTEL INFORMATIVO

En todos los casos se deberá informar de la existencia de un sistema de videovigilancia.

A este fin se colocará un cartel suficientemente visible en los accesos a las zonas videovigiladas, que indicará de forma clara la identidad del responsable de la instalación, ante quién y dónde dirigirse para ejercer los derechos que prevé la normativa de protección de datos, y dónde obtener más información sobre el tratamiento de los datos personales.

Igualmente, se pondrá a disposición de los afectados el resto de la información a la que se refiere el artículo 13 del Reglamento General de Protección de Datos.

OJO CON LAS CÁMARAS IP

Se debe tener especial consideración cuando se instalan “cámaras IP”. Estos dispositivos permiten que la imagen captada sea visualizada en un ordenador remoto siempre que la cámara y el ordenador se encuentren conectados a la misma red IP, por ejemplo internet.

La visualización de las imágenes captadas por la cámara puede realizarse desde cualquier ordenador conectado a internet a través del navegador habitual, sin más que invocar la dirección IP de la cámara y siempre que no se hayan establecido controles de acceso a la misma.

Desde el mismo ordenador también es posible acceder al resto de funcionalidades disponibles en la cámara: zoom, movimiento horizontal, movimiento vertical, sonido, etc., así como grabar las imágenes recibidas.

Por lo general, las cámaras suelen disponer de mecanismos de control de acceso basados en usuario y clave de forma que, si este control se encuentra activado en la cámara, cualquier ordenador que invoque su dirección IP deberá pasar dicho control antes de poder acceder a los servicios ofrecidos por la cámara, incluidas las imágenes.

Es habitual también que los mecanismos de control de accesos vengan desactivados de fábrica o bien activados con usuarios y claves por defecto, resultando una práctica habitual que se instalen tal y como vienen de fábrica. Lo anterior hace que la cámara IP sea vulnerable, ya que deja a la cámara en una situación de “puertas abiertas”, sin más protección frente al acceso indebido de un tercero que conocer donde su localización en la Red, es decir, su dirección IP.

Si un tercero no autorizado tuviera acceso a las imágenes procedentes de la cámara IP podría suponer una violación de seguridad. Este hecho debería ser notificado en un plazo máximo de 72 horas a la Agencia Española de Protección de Datos incluyendo un informe con un contenido mínimo sobre la brecha de seguridad.

CONSERVACIÓN DE LAS IMÁGENES

Las imágenes pueden ser conservadas durante un plazo máximo de un mes desde su captación, transcurrido el cual se debe proceder al borrado.

Si se produjese la grabación de un delito o infracción administrativa que deba ser puesta en conocimiento de una autoridad las imágenes se acompañarán a la denuncia y deberán conservarse con el único fin de ponerlas a disposición de la citada autoridad sin que puedan ser utilizadas para ningún otro propósito.

CUANDO ES NECESARIA UNA EVALUACIÓN DE IMPACTO

Una evaluación de impacto (EIPD) es un documento obligatorio en algunos casos para el cumplimiento de la normativa de protección de datos. Permite determinar el nivel de riesgo que entraña un tratamiento, con el objetivo de establecer las medidas de control más adecuadas para reducir el mismo hasta un nivel considerado aceptable.

En ciertas circunstancias esta EIPD es obligatoria, por ejemplo, cuando se produce una observación sistemática de las imágenes o un tratamiento de datos a gran escala.

Debería, por ejemplo, realizarse una EIPD cuando se utiliza videovigilancia es espacios de acceso público como pueden ser plazas, calles o grandes centros comerciales. También es obligatoria cuando se utilicen nuevas tecnologías (drones, reconocimiento facial, huella dactilar, control térmico, inteligencia artificial).

ACCESO A LAS IMÁGENES

El acceso a las imágenes es responsabilidad exclusiva de la entidad que decide la instalación de las cámaras que debe velar porque las imágenes no sean accesibles por personas no autorizadas.

Si el acceso se realiza con conexión a Internet se debe restringir con un código de usuario y una contraseña (o cualquier otro medio que garantice la identificación y autenticación unívoca), que sólo serán conocidos por la persona autorizada para acceder a dichas imágenes

Una vez instalado el sistema, se recomienda el cambio de la contraseña, evitando las fácilmente deducibles.

La petición de imágenes por las Fuerzas y Cuerpos de Seguridad se realizará en el marco de actuaciones judiciales o policiales. El requerimiento al titular del tratamiento será el documento que ampare a éste para acceder a las mismas.

GRABACIÓN DE VOZ

La grabación de sonido de voz en un soporte informatizado constituye un almacenamiento de datos personales.

El hecho de que pueda resultar legítima la videovigilancia por razones de seguridad, no implica necesariamente que se legitime la grabación de la voz, tratamiento que tendría que tener su justificación propia.

Existen informes jurídicos de la Agencia Española de Protección de Datos que censuran la instalación de micrófonos en espacios laborales con el objetivo de la grabación de conversaciones que sean utilizadas para reforzar la seguridad de la entidad y poder resolver mejor las reclamaciones de los clientes.

Se considera que la finalidad perseguida resulta desproporcionada para el sacrificio que implica del derecho a intimidad de los trabajadores.

CUANDO UN TERCERO ACCEDE A LAS IMÁGENES

Es posible que un servicio externo se encargue de la gestión las cámaras de videovigilancia por cuestiones de mantenimiento, que visione las imágenes por motivos de seguridad, etc.

El acceso a las imágenes por parte de un tercero debe estar regulado por la existencia de un contrato. Este documento debe adaptarse a las circunstancias concretas de la prestación de servicios y no debe ser una simple copia del contenido de las cláusulas del artículo 28.3 del RGPD, su objetivo debe ser garantizar el cumplimiento de la norma de acuerdo con las instrucciones del responsable.

Por otra parte, aquellos sistemas de videovigilancia que vayan a a estar conectados con una central receptora de alarmas o un centro de control, deben cumplir los requisitos de la Ley de Seguridad Privada.

COMUNICACIÓN DE IMÁGENES A UN TERCERO

Pueden solicitarte el acceso a las imágenes la Policía u otras Fuerzas y Cuerpos de Seguridad para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales.

La petición de las grabaciones debe realizarse de forma motivada, y la entrega de las mismas debe ser proporcional a la finalidad del requerimiento realizado, sin que se produzca una comunicación indiscriminada.

Los particulares también pueden solicitar acceder a determinadas imágenes para conocer la identidad de un tercero, a los efectos de poder ejercitar determinadas acciones judiciales. La comunicación de estas imágenes debe limitarse al mínimo necesario para la finalidad pretendida, en la medida que el solicitante pueda determinar exclusivamente lo relacionado con el incidente concreto.

VIDEOVIGILANCIA EN GARAJES

Se pueden instalas cámaras de videovigilancia en garaje cuando forme parte de un espacio compartido por el que puedan transitar el resto de los propietarios o terceros que acceden al mismo siempre que las las imágenes captadas se limiten a tu plaza de aparcamiento y una franja mínima de las zonas comunes que no sea posible evitar captar para la vigilancia de tu plaza de aparcamiento.

Previamente debes solicitar autorización a la Junta de Propietarios que deberá hacerlo constar en las actas correspondientes.

No se pueden campar imágenes de plazas de aparcamiento ajenas. Tampoco pueden captarse imágenes de la vía pública, terrenos y viviendas colindantes o de cualquier otro espacio ajeno, salvo que resulte imprescindible para la finalidad perseguida.

Si se utilizan cámaras orientables y/o con zoom es necesaria la instalación de máscaras de privacidad para evitar captar imágenes de la vía pública, terrenos y viviendas de terceros.

VIDEOVIGILANCIA EN CC.PP.

Para la instalación de cámaras en zonas comunes de una comunidad de propietarios es necesario el acuerdo de la Junta de Propietarios que quedará reflejado en las actas de dicha Junta. Este acuerdo también será necesario para la instalación de cámaras en las piscinas comunitarias.

Se recomienda que en el acuerdo se reflejen algunas de las características del sistema de videovigilancia, como el número de cámaras o el espacio captado por las mismas.

La información puede estar disponible en conserjería, recepción, oficinas, tablones de anuncios, o ser accesible a través de Internet.

En ningún caso estarán accesibles a los vecinos mediante canal de televisión comunitaria.

En aquellos casos en los que la utilización de videoporteros se limite a su función de verificar la identidad de la persona que llamó al timbre así como facilitar el acceso a la vivienda, no será de aplicación la normativa sobre protección de datos.

Sin embargo, si el servicio se articula mediante procedimientos que reproducen y/o graban imágenes de modo constante, y en particular cuando el objeto de las mismas alcance al conjunto del patio y/o a la vía pública colindante, o se graben imágenes sobre situaciones que concurran en la portería de un edificio, al exceder estas actuaciones del ámbito personal y doméstico, resultará de plena aplicación el RGPD.

ZONAS DE BAÑO

En el supuesto de la instalación de cámaras de videovigilancia en de las zonas de baño (piscina, spa) de una comunidad de propietarios conviene precisar que siempre se debe respetar lo establecido en la Ley 49/1960, de 21 de julio, sobre propiedad horizontal.

Para la instalación de cámaras en piscinas y spas con fines de garantía de calidad sanitaria y de seguridad de las personas, será posible siempre que se limiten a zonas de uso público y no a espacios reservados como vestuarios o aseos. Si las cámaras se sitúan en zonas de servicios colectivos, como cafeterías, restaurantes o zonas de pasos, será proporcional su instalación y uso con fines de seguridad.

VIDEOVIGILANCIA PARA EL CONTROL LABORAL

El Estatuto de los Trabajadores faculta al empresario para adoptar las medidas que estime más oportunas para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, que deberán guardarla consideración debida a la dignidad humana y tener en cuenta la capacidad real de los trabajadores con discapacidad.

Los sistemas de videovigilancia para control empresarial sólo se adoptarán cuando exista una relación de proporcionalidad entre la finalidad perseguida y el modo en que se traten las imágenes y no haya otra medida más idónea

Siempre se deberá tener en cuenta el derecho a la intimidad y a la propia imagen de los trabajadores

También habrá de informar personalmente a los trabajadores y a la representación sindical, por cualquier medio que garantice la recepción de la información de la existencia de cámaras para vigilar su actividad laboral. Nunca deberá efectuarse a direcciones particulares de los trabajadores ni a través de llamadas a sus móviles privados.

Las cámaras sólo captarán imágenes de los espacios indispensables para el control laboral. En ningún caso se ubicarán en zonas de vestuarios, baños y espacios de descanso de los trabajadores.

No es posible el registro de conversaciones privadas.

VIDEOVIGILANCIA EN ENTORNOS ESCOLARES

La captación de imágenes en entornos como colegios, guarderías, centros lúdicos y espacios similares donde los menores puedan ser objeto de grabación, requiere adoptar ciertas cautelas.

La instalación de cámaras de videovigilancia en estos entornos con el fin de controlar conductas que puedan afectar a la seguridad, sólo será legítima cuando la medida sea proporcional en relación con la infracción que se pretenda evitar y, en ningún caso, debe suponer el medio inicial para llevar a cabo funciones de vigilancia.

Y en todo caso deberán tenerse en cuenta las siguientes indicaciones:

• La zona objeto de videovigilancia debe ser la mínima imprescindible abarcando espacios públicos como accesos o pasillos.

• No pueden instalarse en espacios protegidos por el derecho a la intimidad como baños, vestuarios o aquellos en los que se desarrollen actividades cuya captación pueda afectar a la imagen o a la vida privada como los gimnasios.

• Salvo en circunstancias excepcionales, no pueden utilizarse con fines de control de asistencia escolar.

• Se pueden instalar cámaras en los patios de recreo y comedores cuando la instalación responda a la protección del interés superior del menor, toda vez que, sin perjuicio de otras actuaciones como el control presencial por adultos, se trata de espacios en los que se pueden producir acciones que pongan en riesgo su integridad física, psicológica y emocional.

• La grabación en las aulas mientras los alumnos realizan pruebas de nivel de conocimientos se considera desproporcionado.