VIDEOVIGILANCIA Y RGPD: OCHO PREGUNTAS CON RESPUESTA (I)

¿Cómo impacta el RGPD en el régimen legal aplicable a la videovigilancia?

Dividiremos las “preguntas frecuentes” en materia de videovigilancia en dos posts distintos: en este primero, hablaremos de las cuatro primeras:

Indice

I.-¿Es obligatorio que las cámaras de seguridad sean gestionadas por una empresa de seguridad autorizada?

II.- ¿Es necesario el consentimiento de las personas captadas por las cámaras de videovigilancia?

III.- Y si la base legítima no es el consentimiento…. Entonces ¿cuál es?

IV.- Pero entonces … ¿este rollo cómo funciona cuando entro, por ejemplo en Cortefiel? (Caso práctico).

El segundo post, aquí.

 Vamos allá:

RGPD y VIDEOVIGILANCIA

I.- ¿ES OBLIGATORIO QUE LAS CÁMARAS DE SEGURIDAD SEAN GESTIONADAS POR UNA EMPRESA DE SEGURIDAD AUTORIZADA?

No es obligatorio en todos los casos:

Sí es obligatorio cuando el personal encargado de la gestión esté llamado a intervenir activamente en relación con las personas sujetas a la videovigilancia, (por ejemplo, a pedir documentos de identificación a las personas, supervisar controles de metales, recoger y custodiar efectos de las personas), o a gestionar una central de recepción de alarmas, será necesaria la contratación de una Empresa de Seguridad debidamente autorizada por el Ministerio de Interior.

Pero la Ley 5/2014, de 4 de abril, de Seguridad Privada (en adelante “LSP”) regula específicamente (art 42.1) que cuando el objeto principal de las videocámaras sea la comprobación del estado de instalaciones o bienes, el «control de accesos» a apartamentos y garajes, y las actividades que en ellos se desarrollan, estas funciones podrán realizarse por personal propio de la empresa.

Dicho esto, es cierto que en general la prestación de servicios privados de vigilancia y protección de bienes, mediante el uso de videocámaras con finalidad de prevenir la comisión de delitos está reservada normativamente a empresas de seguridad autorizadas y a vigilantes de seguridad habilitados, -artículo 5, punto 1 y punto 2, de la LSP-.

RGPD y VIDEOVIGILANCIA

II.- ¿ES NECESARIO EL CONSENTIMIENTO DE LAS PERSONAS CUYAS IMÁGENES SON CAPTADAS MEDIANTE SISTEMAS DE VIDEOVIGILANCIA?

No. El consentimiento es sólo una entre varias opciones.

Desde el punto de vista de la Protección de datos, cualquier organización que utilice videocámaras de vigilancia, necesita una base legítima (a elegir entre seis: consentimiento, contrato, obligación legal, interés vital, interés público, interés legítimo del responsable).

El RGPD, el Reglamento Europeo de Protección de Datos da a elegir entre cualquiera de las seis, sin preferir ninguna sobre las demás.

Cada responsable debe aplicar la más adecuada en cada caso de tratamiento de datos.

Pues bien, “a la vista” (nunca mejor dicho, je) de las finalidades que las videocámaras persiguen, el consentimiento casi nunca va a ser la base legítima más apropiada.

III.- Y SI LA BASE LEGÍTIMA NO ES EL CONSENTIMIENTO…. ¿CUÁL ES?

Ajajá. ¡¡Buena pregunta!! Ni yo mismo la hubiera hecho mejor.

Pues depende del caso:

Atendiendo a las finalidades habituales de estos sistemas, podemos distinguir entre (I) cámaras de seguridad (seguridad-seguridad o control de acceso) y las de control de los trabajadores (control laboral).

(1) Cámaras de “seguridad en sentido estricto” (gestionadas por empresa de seguridad autorizada) o “cámaras de seguridad ordinaria o de control de acceso” sin más.

En el ámbito de la videovigilancia con finalidad de seguridad (cámaras de vigilancia perimetral, por ejemplo), existe una habilitación legal para su uso: la mencionada Ley de Seguridad Privada.

Obligación legal vs habilitación legal

Pero ojo, en lo que toca a la ley como base de legitimación, siendo rigurosos, lo que te legitima a tratar los datos es que la ley te obligue a ponerlas, no que simplemente te habilite a hacerlo.

La confusión sobre este tema proviene de la tradicional preferencia de la LOPD por el consentimiento. Donde era complicado obtener consentimiento para tratamientos de datos, o simplemente imposible, el legislador español optó por crear una habilitación legal para determinados tratamientos de datos.

Pero estos tratamientos (no sólo la videovigilancia, también el de datos de contacto de empresas, o el de comprobación de solvencia con ficheros de morosos, por poner algún ejemplo) no están basados en la base legítima “obligación legal” –porque, como digo, la ley no te obliga a practicarlos – sino en el “interés legítimo” del responsable.

En estos casos, como explico más abajo, esa habilitación legal será un factor importante que juega a favor del interés del responsable del tratamiento en el juicio de ponderación, pero no basta por sí sólo: depende de un montón de cosas más.

RGPD y VIDEOVIGILANCIA

Pero, concretando, para que se entienda:

1.1.- Cámaras públicas.

Las cámaras que vigilan la vía y espacios públicos sólo pueden ser operadas por las Fuerzas y Cuerpos de Seguridad.

Base legítima: interés público.

1.2- Cámaras privadas legalmente obligatorias.

En el caso de los bancos y las joyerías, por ejemplo, la base legítima del tratamiento de las imágenes captadas mediante videocámaras será la “obligación legal”. A estos la ley sí les obliga a tener instaladas cámaras de videvigilancia.

Base legítima: obligación legal.

1.3 Cámaras privadas “voluntarias”.

En el resto de los casos (supermercados, tiendas de ropa, por ejemplo) me da la sensación de que los responsables no se lo han currado mucho hasta ahora.

En general, el análisis de este caso empieza y termina en “sólo hay que informar, no hace falta pedir el consentimiento”.

Sí, pero el RGPD impone la nueva obligación de transparencia y hay que informar de muchas cosas… entre ellas… ¿cuál es su base legítima de tratamiento?

Y lo digo porque, de acuerdo con la nueva obligación de transparencia del RGPD, hay que informar de esta base a los interesados. Aunque sea en la “segunda capa” de información.

La segunda capa de información es el papelito que hay que tener preparada con “el resto” de información obligatoria que “no cabe” en los famosos cartelitos amarillos como este.

Si usted ni siquiera sabía que tenía que tener algo más que los cartelitos amarillos, siga leyendo.

RGPD y VIDEOVIGILANCIA

IV.- PERO ENTONCES … ¿ESTE ROLLO CÓMO FUNCIONA CUANDO ENTRO, POR EJEMPLO EN CORTEFIEL? (CASO PRÁCTICO)

¿Cuál es la base de legitimación que permite a Cortefiel grabarme cuando entro a una de sus tiendas?

Si entro en Cortefiel y una cámara captura la imagen de mi calva sebosa…

¿He prestado mi consentimiento al efecto?

Ni de coña. Yo no. Y mi brillante calva, tampoco. No me vengan con el cuento del consentimiento tácito o presunto. Como ya sabemos, eso ya no vale. Tiene que ser activo e inequívoco. Y acreditable, ojo.

¿Contrato o relación precontractual?

No. Agua. Nueve de cada diez veces que entro en una tienda, salgo sin comprar nada. Así que no.

¿Interés público, interés vital?

Ni de coña. Nop.

¿Interés legítimo?

Equilicuá. Esto sí.

Pero el responsable tiene que identificar esta base legítima en su información preceptiva. Y tiene que realizar una ponderación de intereses (su interés legítimo contra los derechos e intereses de los interesados) cuyo resultado le sea favorable.

dos tratamientos con la misma finalidad pueden estar justificados o no dependiendo de las circunstancias

La habilitación legal de la LSP es un factor importante que juega a favor del interés del responsable del tratamiento en el juicio de ponderación, pero no basta por sí sólo: depende de un montón de cosas más.

En el uso del interés legítimo, el demonio está en los detalles: dos tratamientos con la misma finalidad pueden estar justificados o no dependiendo de las circunstancias (ubicación, tiro y enfoque de la cámara; finalidad, expectativa de los interesados, grado de intrusión, intensidad del tratamiento, capacidad para identificar al interesado, etc).

No estoy loco: revisen la jurisprudencia.

La judicatura nos obsequia con sentencias que declaran procedentes despidos basados en imágenes obtenidas por cámaras ocultas en un cuarto de baño. Sí amigos, han leido ustedes bien. (descarga: pdf).

Y con otras que ordenan indemnizar a trabajadores válidamente despedidas, que reconocieron haber robado dinero de las cajas de un supermercado, basándose en la “maliciosa” ocultación de las cámaras incriminatorias.

Así de difícil es esto de la protección de datos con el nuevo RGPD.

Y no, quien le haya cobrado 300 euros por «adaptar su empresa al RGPD», no creo que le haya preparado para esto. Ni para esto otro.

Para saber más, visite la guía resumen del RGPD.

La próxima semana seguiremos con otras cuatro preguntas:

¿Qué pasa con las videocámaras de control laboral?

¿Entonces puedo instalar videocámaras donde me dé la gana?

¿Las “caras” captadas por las videocámaras constituyen datos de categoría especial (sensibles)?

Cuál es el plazo de retención de imágenes?

Muy buena semana.

jorge garcia herrero. abogado puntocero