Videovigilancia y Reglamento General de Protección de Datos (RGPD)

Una imagen que identifique o pueda identificar a una persona constituye un dato de carácter personal que puede ser objeto de tratamiento. La finalidad más común de la videovigilancia es utilizar las cámaras para garantizar la seguridad de las personas, bienes e instalaciones. El control de la prestación laboral, la investigación y la asistencia sanitaria son otros de los fines de este tipo de tratamiento.

Al suponer un tratamiento de datos de carácter personal, debe ajustarse a los principios y obligaciones establecidos en la normativa de protección de datos. Al realizar un tratamiento de imágenes a través de diversos sistemas existentes de captación con fines de seguridad, debe valorarse tanto la legitimación para utilizar dichos sistemas de captación, como los principios de limitación de finalidad y minimización de datos recogidos en el art. 5 del RGPD. Además se debe llevar a cabo una serie de actuaciones para que los tratamientos se ajusten al contenido del Reglamento, en referencia al principio de responsabilidad proactiva.

LEGITIMACIÓN PARA LA VIDEOVIGILANCIA

El artículo 6 del RGPD establece varios supuestos que legitiman el tratamiento de datos de carácter personal, entre los que se encuentra permitir el tratamiento cuando sea necesario para el cumplimiento de una misión realizada en interés público. Dado que la finalidad de la videovigilancia es garantizar la seguridad de las personas, bienes e instalaciones, dicho tratamiento se legitima por el interés público.

PROPORCIONALIDAD EN LA VIDEOVIGILANCIA

El RGPD recoge el principio de limitación de la finalidad en su artículo 5, dispone que los datos personales recogidos con fines determinados, explícitos y legítimos y que no serán tratados posteriormente de manera incompatible con dichos fines. Supone que los datos que se obtengan a través de la videovigilancia serán tratados para la finalidad que ha motivado la instalación de la cámara y que está dirigida a garantizar la seguridad de personas, bienes e instalaciones.

Otro de los principios recogidos en el artículo 5 del RGPD es el de minimización de los datos, los datos personales serán adecuados, pertinentes y limitados a lo necesario, en relación con los fines para los que son tratados. Implica que existen espacios en los que podría ser desproporcionada la utilización de la videovigilancia. Por ejemplo, en vestuarios, taquillas y zonas de descanso de los trabajadores.

Este principio también se proyecta a través del número y tipo de cámaras que se pretenda utilizar, no es lo mismo la captación de imágenes a través de una cámara fija que la realizada a través de cámaras que permiten grabaciones de 360 grados.

Una opción para aplicar el principio de minimización es el uso de “máscaras de privacidad” de forma que se evite gravar y captar imágenes excesivas.

RESPONSABILIDAD PROACTIVA

El ya mencionado artículo 5 del RGPD recoge este concepto como principio esencial del tratamiento de datos personales. La responsabilidad proactiva es una de las obligaciones del responsable del tratamiento para asegurar los principios del tratamiento. Consiste en la capacidad del responsable de proporcionar y demostrar evidencias de dicho cumplimiento.

El RGPD establece un catálogo de medidas de responsabilidad proactiva que el responsable y en ocasiones el encargado del tratamiento deben aplicar para garantizar que los tratamientos son conformes al Reglamento europeo, estas son:

• Delegado de protección de datos.
• Registro de actividades de tratamiento.
• Análisis de riesgos.
• Medidas de seguridad.
• Evaluación de impacto en la protección de datos.
• Privacidad desde el diseño y por defecto.

Estas medidas no deben aplicarse obligatoriamente en todos los casos.

Además, se debe de tener en cuenta lo siguiente:

• Relaciones entre responsable y encargado del tratamiento de imágenes.
• Conservación de imágenes.
• Derechos de las personas.
• Comunicación de imágenes a terceros.

RELACIONES ENTRE RESPONSABLE Y ENCARGADO DEL TRATAMIENTO DE IMÁGENES.

El acceso por cuenta de terceros distintos del responsable del tratamiento a las imágenes de las cámaras deberá estar regulado por la existencia de un contrato u otro acto jurídico con arreglo al Derecho de la Unión Europea, en el que se establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable.

El responsable debe elegir un encargado del tratamiento que ofrezca garantías suficientes respecto a la implantación y mantenimiento de las medidas técnicas y organizativas apropiadas, en relación a lo establecido en el RGPD, y que garantice la protección de los derechos de las personas afectadas. Existiendo, por tanto, un deber de diligencia en la elección del responsable.

CONSERVACIÓN DE IMÁGENES

Desde la aplicación del RGPD, el 25 de mayo de 2018, se ha desplazado la mayor parte de la Instrucción 1/2006 ha quedado desplazada. Sin embargo, lo dispuesto en su artículo 6 puede considerarse que sigue en vigor. Regula el plazo de conservación y establece que se produzca la supresión en el plazo máximo de un mes, salvo en aquellos supuestos que se deban conservar para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones.

DERECHOS DE LAS PERSONAS

Los derechos que los afectados pueden ejercitar ante los responsables y encargados con; acceso, rectificación, supresión, limitación del tratamiento, portabilidad, oposición y oposición a decisiones individuales automatizadas.

El ejercicio de estos derechos debe ser matizado en el ámbito de la videovigilancia. No resulta aplicable:

• El derecho de rectificación, por la naturaleza de las imágenes (datos personales) se trata del ejercicio de un derecho de contenido imposible.
• El derecho a la portabilidad, ya que la legitimación no se basa ni en el consentimiento ni en la ejecución de un contrato.
• El derecho a la limitación del tratamiento, en su aspecto de “cancelación cautelar” vinculado al ejercicio de los derechos de rectificación y oposición.

Si serán aplicables los derechos de acceso, supresión y limitación del tratamiento (en su otra vertiente, es decir, se solicite al responsable que conserve las imágenes).

COMUNICACIÓN DE IMÁGENES A TERCEROS

En el ámbito de la videovigilancia este tipo de comunicaciones ocurren con bastante frecuencia sin consentimiento en los siguientes casos:

• Cuando la comunicación de imágenes tiene por destinatarios Jueces y Tribunales. Encontrado la legitimación para comunicar estos datos el cumplimiento de una obligación legal en base a lo recogido en el art. 236 quáter de la LO 6/1985, de julio, del Poder Judicial.
• Cuando las Fuerzas y Cuerpos de Seguridad soliciten las grabaciones en aquellos supuestos que son necesarios para la prevención de un peligro real, para la seguridad pública o para la represión de infracciones penales. Encontrando su legitimación en el art. 2.2.d) del RGPD. Determina su no aplicación al tratamiento de datos personales por parte de las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales.