En muchas ocasiones, cuando se instala un sistema de videovigilancia, no se tiene en cuenta la normativa de protección de datos personales. Es por eso que en este artículo sobre videovigilancia y protección de datos vamos a dar las principales claves para evitar sanciones en esta materia. No basta únicamente con colocar un cartel informativo amarillo que muchas veces incluso hace referencia a normativa derogada o no se encuentra correctamente cumplimentado.
En España, debemos cumplir con todos los requerimientos que afectan a la videovigilancia, contenidos en la normativa vigente:
- RGPD: Reglamento General de Protección de Datos, de ámbito europeo.
- LOPDGDD: Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales, de ámbito estatal.
Además, la AEPD (Agencia Española de Protección de Datos) dispone de una guía específica explicativa sobre el cumplimiento de la normativa en lo que se refiere a la videovigilancia.
Esta normativa no será aplicable cuando en el ámbito exclusivamente personal y doméstico una persona física capta el interior de su propio domicilio.
Además, hay que tener en cuenta que no se pueden obtener imágenes de espacios públicos con fines de seguridad, ya que esta actividad está reservada exclusivamente a las Fuerzas y Cuerpos de Seguridad, salvo imágenes parciales y limitadas que resulten imprescindibles para la vigilancia o sea imposible evitarlas.
Bajo ninguna circunstancia se podrán captar imágenes de baños, vestuarios ni espacios similares o ajenos.
Registro de actividades de tratamiento
Previamente a la instalación del sistema de videovigilancia se debe registrar esta actividad en el registro de actividades de tratamiento de la organización. Dicho registro, elaborado por el Responsable de Tratamiento, deberá incluir al menos los siguientes datos:
a) el nombre y los datos de contacto del responsable y, en su caso, del corresponsable, del representante del responsable, y del delegado de protección de datos;
b) los fines del tratamiento;
c) una descripción de las categorías de interesados y de las categorías de datos personales;
d) las categorías de destinatarios a quienes se comunicaron o comunicarán los datos personales, incluidos los destinatarios en terceros países u organizaciones internacionales;
e) en su caso, las transferencias de datos personales a un tercer país o una organización internacional, incluida la identificación de dicho tercer país u organización internacional y, la documentación de garantías adecuadas cuando sea aplicable;
f) cuando sea posible, los plazos previstos para la supresión de las diferentes categorías de datos;
g) cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad aplicadas;
Derecho de información
Uno de los derechos fundamentales que garantiza la normativa de protección de datos personales con respecto a los interesados, es el derecho a ser informados sobre el uso y tratamiento de sus datos personales. La videovigilancia supone como hemos dicho un tratamiento de datos personales del cual el interesado debe ser informado. Es por ello, que todos hemos visto esos carteles amarillos informando de la existencia de cámaras de videovigilancia en ciertos lugares. Es importante que existan estos carteles, ya que siempre se debe informar de la existencia de un sistema de videovigilancia. No menos importante, es colocar toda la información pertinente en dicho cartel:
- Identidad del Responsable de la instalación
- Ante quién y dónde dirigirse para ejercer los derechos que prevé la normativa de protección de datos (normalmente ante la AEPD).
- Donde obtener más información sobre el tratamiento de datos personales (en el cartel debemos indicar un sitio, normalmente una web en la que se pueda obtener toda la información sobre el tratamiento de los datos que se obtienen por medio de la videovigilancia: periodo de conservación, finalidad para la que se toman los datos, si existen transferencias internacionales o cesión de datos a terceros, etc.).
Seguridad y secreto
Se deben implantar medidas de seguridad que garanticen el correcto tratamiento de los datos obtenidos mediante sistemas de videovigilancia y prevengan incidentes que puedan afectar a la confidencialidad, integridad o disponibilidad de los datos.
Las medidas pueden ser de carácter técnico, como por ejemplo el uso de contraseñas robustas para el acceso a las imágenes, como de carácter organizativo, como puede ser la formación del personal que trata las imágenes en materia de protección de datos. Las medidas tomadas deben impedir además el acceso a las imágenes a personas no autorizadas.
Conservación de las imágenes
Las imágenes obtenidas mediante sistemas de videovigilancia se deben conservar por un periodo máximo de un mes, salvo ciertas excepciones muy puntuales que permite la normativa. Transcurrido este periodo las imágenes deben ser eliminadas de forma permanente.
En conclusión, es importante, que las organizaciones que todavía no lo haya hecho realicen cuanto antes la adaptación normativa protección de datos, teniendo en cuanta la última normativa vigente y recomendaciones de la AEPD en materia de videovigilancia y protección de datos personales.