Videovigilància i protecció de dades

Qui està obligat a complir la normativa de protecció de dades per al tractament d'imatges de videovigilància?

Les empreses (persones jurídiques) i professionals autònoms:

Tot/a professional o empresa que vulgui instal·lar càmeres que captin o gravin imatges en el seu centre de treball o local ha de complir amb el Reglament General de Protecció de Dades UE 2016/679 (RGPD), i la LO 3/2018 de Protecció de Dades Personals i garantia dels drets digitals (LOPDGDD) per a tractar la imatge dels seus clients, personal laboral o col·laborador, proveïdors i altres persones usuàries de les seves instal·lacions.

Les persones físiques particulars, en determinades circumstàncies:

Per regla general, les persones particulars que tractin imatges exclusivament en àmbit personal o domèstic estan exemptes de complir la normativa de protecció de dades, sempre que únicament registrin imatges de l'interior del seu domicili.

No obstant això, la instal·lació de càmeres en un habitatge o per part d'un particular sí que quedarà sotmès al compliment de la normativa en cas que, per exemple, es puguin captar imatges de l'exterior del domicili, com a jardins i zones de pas comunitàries, si les càmeres estan situades en garatges comunitaris o si es registra la imatge del personal domèstic en l'exercici de les seves funcions laborals.

En aquests casos, a més de complir amb la normativa de protecció de dades, pot ser necessari aplicar altres normatives i adoptar tota una sèrie de mesures de seguretat i precaucions addicionals. Per exemple, en el cas de Comunitats de Propietaris, si les càmeres poden captar imatges d'espais comuns, per a fer la instal·lació s'haurà de comptar amb l'acord de la Comunitat recollit en acta i, en el cas del personal, caldrà complir amb la legislació laboral i caldrà informar expressament sobre el tractament a les persones afectades.

Vull instal·lar una alarma amb captació d'imatge o càmeres de videovigilància amb finalitats de seguretat, què he de fer per a complir amb la normativa de protecció de dades?

Per a complir amb el RGPD i la LOPDGDD en matèria de videovigilància, bàsicament cal:

1 - Disposar d'un registre d'activitats del tractament (RAT).

2 - Cal informar correctament les persones afectades senyalitzant, com a mínim, els accessos a la zona vigilada amb el corresponent cartell informatiu.

• El cartell haurà de col·locar-se tant en espais oberts com tancats i haurà d'estar visible i amb lletra llegible. Addicionalment, es recomana col·locar altres cartells repartits per l'establiment en tots aquells espais on sigui necessari per a reforçar la informació.
• El cartell ha de contenir, com a mínim, la següent informació bàsica:

• • Identificar al responsable de la instal·lació (és a dir, l'empresa o persona responsable del tractament).
  • Davant qui o on dirigir-se per a exercir els drets de protecció de dades (accés, supressió, oposició i limitació)
  • On obtenir la resta d'informació sobre el tractament.

L'Agència Espanyola de Protecció de Dades (AEPD) ha elaborat un model de cartell que es pot utilitzar a aquest efecte.

També es pot optar per proporcionar directament la informació completa. En tal cas el cartell haurà d'incloure tota la informació per a informar correctament i de manera completa, és a dir: la identitat del responsable, les finalitats i la legitimació del tractament, els destinataris i el termini de conservació de les imatges, així com els drets de protecció de dades que tenen les persones interessades i on exercir-los.

3 - Les imatges gravades es poden conservar, com a molt, durant el termini màxim d'1 mes des de la seva captació, excepte en cas d'incident.

Excepcionalment, si les càmeres registren algun delicte o infracció, es podran extreure i mantenir bloquejades durant més temps únicament per a posar-les a la disposició de les autoritats competents (Policia i Jutjats) en cas de denúncia. En aquest cas, les imatges hauran de posar-se a la disposició de les autoritats en el termini màxim de 72 hores des que es té coneixement de l’existència de la gravació.

4- Aplicar les mesures necessàries per a garantir la seguretat i confidencialitat de les imatges, així com el compliment dels principis de protecció de dades, especialment, el de minimització.

Per aquest motiu caldrà, entre altres coses i molt especialment:

• Impedir que persones diferents del responsable del sistema o que no estiguin expressament autoritzades per aquest puguin accedir a les imatges.
• Informar les persones que tinguin accés a les imatges de les seves obligacions de seguretat, confidencialitat i deure de sigil.
• Garantir que l'orientació i el zoom de les càmeres és la correcta per a no captar espais aliens ni porcions de via pública que no siguin estrictament imprescindibles (únicament es permet captar la franja mínima d'accés a l'habitatge o establiment).
• Cal assegurar que en cap cas es poden captar imatges de zones privades, de descans o protegides pel dret a la intimitat o que puguin afectar la vida privada de les persones, com vestuaris, lavabos, taquilles i zones de descans. En gimnasos i piscines ha de limitar-se únicament a zones de pas públiques.

5- En el cas d'empreses o professionals autònoms (responsable del tractament) que contractin el servei de videovigilància o la instal·lació i manteniment de les càmeres a un proveïdor extern (encarregat del tractament) s'haurà de signar un contracte d’encàrrec per a regular l'accés a les imatges per part d'aquest proveïdor de serveis.

D’altra banda, si qui contracta els serveis a un extern és una persona física particular, el proveïdor serà el responsable de la instal·lació i no serà necessari signar el contracte d’encàrrec. Si bé, això no eximeix del compliment de les obligacions indicades perquè el tractament de videovigilància del domicili realitzat per l’empresa està subjecte a la normativa i cal complir la resta d’obligacions.

Si instal·lo una alarma de seguretat que pot captar imatge o només puc visualitzar en directe les cambres (reproducció en temps real) també he de complir la normativa?

Sí, s'ha de complir la normativa de protecció de dades en tots dos casos perquè en els dos supòsits es realitza un tractament de dades personals (és a dir, de la imatge de persones físiques identificades o identificables).

Puc registrar so a través de les cambres?

No, el registre de so i el tractament de la veu es considera excessiu i desproporcionat per a les finalitats de seguretat que es persegueixen i es poden captar converses privades no estant legitimat per a aquest tractament en cap cas.