18 Jun RGPD – Videovigilancia
La aprobación del Proyecto de Ley Orgánica de Protección de Datos en Consejo de Ministros traslada a la norma española las exigencias del Reglamento Europeo de Protección de Datos que es de obligado cumplimiento desde el 25 de mayo de 2018. Una legislación que incluye entre sus novedades la exigencia de que las empresas de video vigilancia (RGPD – Videovigilancia) ofrezcan garantías de la aplicación de los requerimientos que impone el texto legal en materia de protección de datos a la hora de ser contratadas.
En el ámbito de la RGPD el concepto de vídeo vigilancia se endurece respecto de la LOPD, obligando a las empresas a un salto cualitativo mayor en sus medidas de seguridad y controles.
RGPD – Videovigilancia
Por un lado tenemos que entender que es obligatorio que las cámaras de seguridad sean gestionadas por una empresa de seguridad autorizada si el personal encargado de la gestión tiene que intervenir activamente en relación con las personas sujetas a video vigilancia o por ejemplo gestionar una central de recepción de alarmas. En estos casos será necesaria la contratación de una Empresa de Seguridad autorizada por el Ministerio de Interior. A este respecto la Ley 5/2014, de 4 de abril, de Seguridad Privada regula (art 42.1) que cuando el objeto principal de las videocámaras sea la comprobación del estado de instalaciones o bienes o el “control de accesos” estas funciones podrán realizarse por personal propio de la empresa.
Respecto del consentimiento de las personas cuyas imágenes son captadas mediante sistemas de video vigilancia siempre que sea posible informar a los trabajadores y tener su aceptación será más positivo y en cualquier caso la base legitima podría ser interés legítimo (de forma general, habría que ver cada caso) relacionado con la Ley de Seguridad Privada, habilitando legalmente este uso. Este interés legítimo también podría aplicarse a control laboral en dos casos:
- Seguridad de las personas y activos en el seno de las instalaciones.
- Control del debido cumplimiento por parte de los trabajadores de su prestación laboral, y de las normas de seguridad y prevención de riesgos laborales.
…además de los conocidos carteles amarillos.
El artículo 6 de la Instrucción 1/2006 establece un plazo de un mes para la cancelación de las imágenes a contar desde la captación de las mismas. Transcurrido dicho plazo los datos deberán ser cancelados o bloqueados (no pudiéndose hacer uso de los mismos y conservándose únicamente a disposición de las Administraciones Públicas, Jueces y Tribunales).
El plazo durante el que los datos deberían permanecer bloqueados es de tres años desde la expiración del citado período de un mes (tres años es el plazo de prescripción de las infracciones muy graves previsto en la LOPD).
En el caso de que una tercera empresa nos instale las videocámaras y/o acceda a las imágenes a través de su personal, deberemos firmar un contrato de “encargado de tratamiento” este incumplimiento llevaría a una sanción de carácter grave. En los tratamientos de datos de los sistemas de video vigilancia con fines de seguridad privada no será necesario obtener el consentimiento de los afectados, siempre que no se capten imágenes de la vía pública así como en los casos de vigilancia de trabajadores también está excluida la necesidad de consentimiento.
Según el Estatuto de los trabajadores, el empresario puede establecer las medidas que considere más oportunas de vigilancia y control para comprobar el cumplimiento por el trabajador de sus obligaciones y deberes laborales. El acceso a las imágenes grabadas debe estar protegido por un usuario y contraseña de forma que sólo las personas autorizadas puedan acceder a las mismas. El responsable del tratamiento designará a las personas concretas que tendrán acceso a esas imágenes que constarán como usuarios autorizados en el documento de seguridad y serán informados de sus respectivas obligaciones.
Conclusiones
Cualquier medida instaurada tiene que ser adecuada, necesaria y proporcional para no invadir el derecho fundamental a la intimidad y dignidad, sin olvidarse de la lucha por el hurto interno en las empresas.
Informar de la existencia de cámaras de video vigilancia en las instalaciones es realmente importante, ya que permite el ejercicio posterior de otros derechos.
Además del cartel informativo, la empresa habilitará un impreso disponible a petición del afectado, informando de:
- La existencia de un fichero o tratamiento de datos de carácter personal y la finalidad del mismo.
- Posibilidad de ejercer los Derechos de Acceso, Rectificación, Cancelación u Oposición (ARCO).
- Identidad y direcciones del Responsable del Tratamiento.
- Las cámaras de video vigilancia deben respetar la intimidad de las persona así como deberá de cumplirse de manera rigurosa el principio de proporcionalidad en la medida y el principio de calidad de los datos, es decir, las imágenes y la información debe ser clara y concisa.
- Respecto de los trabajadores se debe informar de manera previa, expresa, precisa e inequívoca a los trabajadores del propósito de las cámaras, en este caso, para el control de su actividad laboral.
- En relación con la anterior, cabe destacar el deber de obtener el consentimiento para tratar datos, el cual es imprescindible según la normativa de protección de datos de carácter personal.
- En los tratamientos de datos de los sistemas de video vigilancia con fines de Seguridad Privada e instalados por empresas habilitadas por el Ministerio del Interior no es necesario obtener el consentimiento de los afectados, siempre que no se capten imágenes de la vía pública.
Luis Vilanova Blanco. Auditor CISA por ISACA. Auditor RGPD.
606954593
rgpd@luisvilanova.es