Videovigilancia y protección de datos

¿Quién está obligado a cumplir la normativa de protección de datos para el tratamiento de imágenes de videovigilancia?

Las empresas (personas jurídicas) y profesionales autónomos

Todo/a profesional o empresa que quiera instalar cámaras que capten o graben imágenes en su centro de trabajo o local debe cumplir con el Reglamento General de Protección de Datos UE 2016/679 (RGPD), y la LO 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) para tratar la imagen de sus clientes, personal laboral o colaborador, proveedores y demás personas usuarias de sus instalaciones.

Las personas físicas particulares, en determinadas circunstancias

Por regla general, las personas particulares que traten imágenes exclusivamente en ámbito personal o doméstico están exentas de cumplir la normativa de protección de datos, siempre y cuando únicamente registren imágenes del interior de su domicilio.

No obstante, la instalación de cámaras en una vivienda o por parte de un particular sí quedará sometido al cumplimiento de la normativa en caso de que, por ejemplo, se puedan captar imágenes del exterior del domicilio, como jardines y zonas de paso comunitarias, si las cámaras están ubicadas en garajes comunitarios o si se registra la imagen del personal doméstico en el ejercicio de sus funciones laborales.

En este último caso, además de cumplir con la normativa de protección de datos será necesario adoptar toda una serie de medidas de seguridad y precauciones adicionales para cumplir con la legislación laboral y, especialmente, habrá que informar expresamente sobre el tratamiento a estas personas.

Quiero instalar una alarma con imágenes o cámaras de videovigilancia, ¿Qué hago para cumplir con la Ley e protección de datos?

Para cumplir con el RGPD y la LOPDGDD en materia de videovigilancia, básicamente se debe:

1-Disponer de un registro de actividades del tratamiento (RAT).

2- Informar correctamente a las personas afectadas señalizando, como mínimo, los accesos a la zona vigilada con el correspondiente cartel informativo.

• El cartel deberá colocarse tanto en espacios abiertos como cerrados y deberá estar visible y con letra legible. Adicionalmente, se recomienda colocar otros carteles repartidos por el establecimiento en todos aquellos espacios donde sea necesario para reforzar la información.
• El cartel debe contener, como mínimo, la siguiente información básica:
  • Identificar al responsable de la instalación (es decir, la empresa o persona responsable del tratamiento).
  • Ante quién o dónde dirigirse para ejercitar los derechos de protección de datos (acceso, supresión, oposición y limitación)
  • Dónde obtener el resto de información sobre el tratamiento.

La Agencia Española de Protección de Datos (AEPD) ha elaborado un modelo de cartel que se puede utilizar a estos efectos.

También se puede optar por proporcionar directamente la información completa. En tal caso el cartel deberá incluir toda la información para informar correctamente y de forma completa, es decir: la identidad del responsable, las finalidades y la legitimación del tratamiento, los destinatarios y el plazo de conservación de las imágenes, así como los derechos de protección de datos que tienen las personas interesadas y dónde ejercerlos.

3- Las imágenes grabadas se deben conservan, como mucho, durante el plazo máximo de 1 mes desde su captación, salvo en caso de incidente.

Excepcionalmente, si las cámaras registran algún delito o infracción, se podrán extraer y mantener bloqueadas durante más tiempo únicamente para ponerlas a disposición de las autoridades competentes (Policía y Juzgados) en caso de denuncia.

4- Aplicar las medidas necesarias para garantizar la seguridad y confidencialidad de las imágenes, así como el cumplimiento de los principios de protección de datos, en especial, el de minimización.

Para ello se deberá, entre otras cosas y muy especialmente:

• Impedir que personas distintas al responsable del sistema o que no estén expresamente autorizadas por éste puedan acceder a las imágenes.
• Informar a las personas que tengan acceso a las imágenes de sus obligaciones de seguridad, confidencialidad y deber de sigilo.
• Garantizar que la orientación y el zoom de las cámaras es la correcta para no captar espacios ajenos ni porciones de vía pública que no sean estrictamente imprescindibles (únicamente se permite captar la franja mínima de acceso a la vivienda o establecimiento).
• Asegurar que en ningún caso se puede captar imágenes de zonas privadas, de descanso o protegidas por el derecho a la intimidad o que puedan afectar a la vida privada de las personas, como vestuarios, aseos, taquillas y zonas de descanso. En gimnasios y piscinas debe limitarse únicamente a zonas de uso público.

5- En el caso de empresas o profesionales autónomos (responsable del tratamiento) que contraten el servicio de videovigilancia o la instalación y mantenimiento de las cámaras a un proveedor externo (encargado del tratamiento) se tendrá que firmar un contrato de encargo para regular el acceso a las imágenes por parte de dicho proveedor de servicios.

Por su parte, si quien contrata los servicios a un externo es una persona física particular, el proveedor será el responsable de la instalación y no será necesario firmar el contrato de encargo. No obstante, ello no exime a la persona del cumplimiento de las obligaciones indicadas.

¿Si instalo una alarma de seguridad que puede captar imagen o solo puedo visualizar en directo las cámaras (reproducción en tiempo real) también tengo que cumplir la normativa?

Sí, se ha de cumplir la normativa de protección de datos en ambos casos porque en los dos supuestos se realiza un tratamiento de datos personales (es decir, de la imagen de personas físicas identificadas o identificables).  

¿Puedo registrar sonido a través de las cámaras?

No, el registro de sonido y el tratamiento de la voz se considera excesivo y desproporcionado para las finalidades de seguridad que se persiguen y se pueden captar conversaciones privadas no estando legitimado para ello en ningún caso.