Por todos es conocido que los sistemas de videovigilancia (en adelante SVV), afectan cada vez más frecuentemente a nuestras vidas tanto privadas como profesionales. Tales sistemas son utilizados en empresas privadas, edificios públicos, entidades financieras, taxis, colegios, guarderías, viviendas, lugares de trabajo e incluso aparecen frecuentemente en plena calle, no sólo para asegurar nuestro bienestar (Cámaras de Fuerzas y Cuerpos de Seguridad del Estado), sino a veces para dar publicidad, por ejemplo, a determinados lugares de interés turístico (cámaras web de ayuntamientos) o para vigilar instalaciones privadas como por ejemplo centros comerciales o grandes superficies.
¿Siempre es la imagen un dato de carácter personal?
Respecto a este punto, es ya conocido que en el momento en que una imagen pueda determinar quién es la persona que se aprecia en ella, tal imagen será considerada como un dato de carácter personal.
¿Cuál es la regulación que afecta a un SVV a parte de la LOPD y del REAL DECRETO 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal (en adelante RLOPD)?
En este sentido la Instrucción 1/1996 de de 8 de noviembre, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras de la Agencia Española de Protección de Datos (en adelante AEPD) ya reguló en un primer momento el uso de los SVV. No obstante, más recientemente, enero de 2009, la propia AEPD ha elaborado una Guía de Videovigilancia que afecta activamente a la regulación que existía hasta la fecha. Tal guía de videovigilancia aclara numerosas cuestiones, pero también es fiel reflejo de la diversidad de aspectos en los que puede incidir un SVV.
Sin duda muchos de nuestros lectores se habrán planteado, no en pocas ocasiones, si el mero hecho de captar imágenes sin proceder a su grabación, es o no una práctica afectada por la normativa de protección de datos.
En este sentido, ¿se puede considerar entonces que un SVV que consista únicamente en la reproducción en tiempo real de imágenes realiza un tratamiento de datos en el sentido de la normativa de protección de datos?
Lo cierto es que el mero hecho de captar imágenes es en sí un tratamiento y, por lo tanto, debe cumplir con todos los preceptos de la normativa de protección de datos que afecten a ese tratamiento.
¿Cuándo es afectado un SVV por la normativa de protección de datos?
Dos requisitos han de existir para que un SVV se vea afectado por la normativa de protección de datos:
- Que el SVV realice grabación, captación, transmisión conservación, o almacenamiento de imágenes, incluida su reproducción o emisión en tiempo real o un tratamiento que resulte de los datos personales relacionados con aquellas.
Si reflexionamos un instante la pregunta realmente no es cuando se cumple el anterior precepto, sino ¿cuándo no se cumple?
- Que tales actividades se refieran a datos de personas identificadas o identificables.
Hoy en día la mayoría de los SVV poseen la calidad necesaria para identificar a personas físicas en situaciones normales, así pues este punto se cumplirá o no en función de la calidad del SVV, de las condiciones en las que actúe el SVV y de las imágenes que sean captadas.
Requisitos básicos para la utilización de un SVV.
Como hemos visto, el hecho de que exista un SVV técnicamente perfecto, no exime del cumplimiento de aquellos preceptos de la normativa de protección de datos que le afecten.
En este sentido, son destacables los siguientes puntos:
- Se habrá de contar con el consentimiento de los titulares de los datos a no ser que una Ley exima de esta obligación.
Ejemplo relevante en este sentido es el artículo 20 del Estatuto de los Trabajadores que indica en su apartado tercero que el empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana y teniendo en cuenta la capacidad real de los trabajadores disminuidos en su caso.
Por lo tanto la necesidad de solicitar el consentimiento de los afectados se reduce a casos muy concretos y bastante infrecuentes aún, pero, ¿qué ocurre si las imágenes captadas son consideradas como de nivel alto?
Si una imagen obviamente es un dato de carácter personal, ¿qué la exime de ser un dato de nivel alto? Una imagen de una persona invidente o que se desplaza en silla de ruedas o con muletas es claramente una imagen que refleja un estado de salud, ¿ha de ser considerada entonces como un dato de nivel alto?, ¿habría que tratarla como tal y además aplicarle por lo tanto las medidas de seguridad acordes con su nivel?
Lo cierto es que analizando la normativa, y más concretamente los artículos 81.3 y 81.5 del RLOPD, no encontramos una base jurídica que indique lo contrario.
- Se habrá de informar a los afectados sobre el hecho de que se está produciendo una captación y/o grabación de imágenes.
El hecho de que con carácter general no sea necesario solicitar el consentimiento de los afectados para proceder a la utilización de un SVV que capte sus imágenes, no implica que no haya que informar a los mismos en el sentido de que tales imágenes están siendo tratadas.
Así, será necesario informar a los afectados que vayan a acceder a una zona dotada con un SVV con el preceptivo cartel ya comúnmente conocido, cumplimentado y situado correctamente. Tal cartel deberá poder ser visto por los afectados con anterioridad a su entrada a las instalaciones videovigiladas y, además toda estancia dotada con un SVV deberá contar con tal cartel. Del mismo modo si la dependencia o instalación cuenta con varias entradas en todas ellas deberá instalarse el citado cartel.
A parte de ello se deberá tener a disposición de quien pudiera pedirlo un documento informativo que cumpla con lo establecido en el artículo 5 de la LOPD.
- Deberá existir proporcionalidad entre la finalidad perseguida y el modo en que se traten los datos y sólo podrán utilizarse estos SVV cuando dicha finalidad perseguida no pueda ser alcanzada por otros medios menos invasivos.
El concepto de "medio menos invasivo" no deja de ser bastante subjetivo, y puede acarrear problemas similares a los que se han venido produciendo en temas distintos como por ejemplo en el relativo a si la huella digital de los trabajadores es un medio demasiado "invasivo" para la finalidad de control de presencia de los trabajadores. Dejando al margen tal paralelismo, y volviendo al requisito de proporcionalidad, la AEPD podría no entender justificado el hecho de que una cámara de un SVV que capte imágenes de la entrada a unas instalaciones incluya dentro de su campo de visión zonas que vayan más allá de las estrictamente necesarias para su función.
- Conservación de los datos obtenidos a través de actividades de videovigilancia.
El criterio general seguido por la AEPD respecto a la conservación de tales datos personales es que los mismos se puedan conservar por un periodo máximo de un mes[1].
Resaltemos que se está hablando de "periodo máximo" de conservación, con lo cual, si tales datos personales no se encuentran en el marco de algún supuesto especial, podrían ser cancelados antes de que transcurriera ese mes.
[1] Al lector le puede resultar de interés el informe 313/2008 de la AEPD
