1250 - ¿Cuál es el régimen jurídico aplicable al tratamiento de los datos personales con fines de videovigilancia?

El Diccionario del Español Jurídico de la RAE define la videovigilancia como:

«(...) captación de imágenes por cualquier medio de grabación, con fines de prevención y persecución de los delitos».

El derecho a la propia imagen es un derecho fundamental y como tal se encuentra recogido en el apartado primero del artículo 18 de nuestra Carta Magna; además, el desarrollo de su contenido se realiza a través de la Ley Orgánica 1/1982, de 5 de mayo, de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen.

Así, el apartado tercero del artículo primero de la citada ley atribuye al derecho a la propia imagen tres características:

• Irrenunciabilidad.
• Inalienabilidad.
• Imprescriptibilidad.

Es más, el Tribunal Constitucional ha estimado en numerosas sentencias que el derecho fundamental a la propia imagen «no puede ser concebido como una faceta o manifestación más del derecho a la intimidad o el honor, pues si bien todos los derechos identificados en el art. 18.1 CE mantienen una estrecha relación, en tanto que se inscriben en el ámbito de la personalidad, cada uno de ellos tiene un contenido propio y específico». (STC n.º 18/2015, de 16 de febrero, ECLI:ES:TC:2015:18).

De igual manera, el órgano constitucional expone que el derecho a la propia imagen «(...) pretende salvaguardar un ámbito propio y reservado, aunque no íntimo, frente a la acción y conocimiento de los demás; un ámbito necesario para poder decidir libremente el desarrollo de la propia personalidad y, en definitiva, un ámbito necesario según las pautas de nuestra cultura para mantener una calidad mínima de vida humana. Ese bien jurídico se salvaguarda reconociendo la facultad de evitar la difusión incondicionada de su aspecto físico, ya que constituye el primer elemento configurador de la esfera personal de todo individuo, en cuanto instrumento básico de identificación y proyección exterior y factor imprescindible para su reconocimiento como sujeto individual». (STC n.º 27/2020, de 24 de febrero, ECLI:ES:TC:2020:27).

Ahora bien, la esfera normativa de protección de datos gira entorno al concepto de datos personales que a tenor de lo dispuesto en el apartado primero del artículo 4 del RGPD es:

«(...) toda información sobre una persona física identificada o identificable ("el interesado"); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona».

En lo que nos ocupa, el artículo 22 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantías de los derechos digitales (en adelante LOPDGDD) estipula que las personas (físicas o jurídicas), públicas o privadas, pueden realizar el tratamiento de imágenes, a través de sistemas de cámaras o videocámaras, con la finalidad de preservar la seguridad de las personas, bienes y de sus instalaciones.

A título ilustrativo, podemos destacar la Instrucción n.º 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos (AEPD), sobre el tratamiento de datos personales con fines de videovigilancia a través de sistemas de cámaras o videocámaras, que, aunque se refiere a la derogada LOPD, especifica los siguientes aspectos:

• Ámbito objetivo (artículo 1 de la Instrucción de la AEPD n.º 1/2006).
• Legitimación (artículo 2 de la Instrucción de la AEPD n.º 1/2006). 
• Información (artículo 3 de la Instrucción de la AEPD n.º 1/2006).
• Principios de calidad, proporcionalidad y finalidad del tratamiento (artículo 4 de la Instrucción de la AEPD n.º 1/2006).
• Derechos de las personas (artículo 5 de la Instrucción de la AEPD n.º 1/2006).
• Cancelación (artículo 6 de la Instrucción de la AEPD n.º 1/2006).
• Notificación de ficheros (artículo 7 de la Instrucción de la AEPD n.º 1/2006).
• Seguridad y secreto (artículo 8 de la Instrucción de la AEPD n.º 1/2006).

Para concluir, no podemos perder de vista que los principios que rigen el tratamiento de los datos personales, sean de la índole que sean, tal y como dispone el artículo quinto del RGPD, son:

• Principio de licitud, lealtad y transparencia.
• Principio de limitación de la finalidad.
• Principio de la minimización de datos.
• Principio de exactitud.
• Principio de limitación del plazo de conservación.
• Principio de integridad y confidencialidad.

A TENER EN CUENTA. El tratamiento de los datos personales procedentes de las imágenes y sonidos obtenidos mediante la utilización de cámaras y videocámaras por las Fuerzas y Cuerpos de Seguridad y por los órganos competentes para la vigilancia y control en los centros penitenciarios y para el control, regulación, vigilancia y disciplina del tráfico, se regirá por la legislación de transposición de la Directiva (UE) 2016/680, cuando el tratamiento tenga fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y la prevención frente a las amenazas contra la seguridad pública. Fuera de estos supuestos, dicho tratamiento se regirá por su legislación específica y supletoriamente por el RGPD y la LOPDGDD.

CUESTIONES

1. ¿Podrán captarse imágenes de la vía pública?

En virtud de lo dispuesto en el apartado segundo del artículo 22 de la LOPDGDD, solamente podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad del apartado primero del referido artículo, es decir, solo podrán captarse imágenes con el único propósito de preservar la seguridad de las personas, bienes e instalaciones. 

Ahora bien, podrán captarse imágenes de la vía pública «en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte, sin que en ningún caso pueda suponer la captación de imágenes del interior de un domicilio privado».

2. ¿Los datos captados deberán suprimirse? En caso afirmativo, ¿en qué plazo?

Sí, los datos recogidos serán suprimidos en el plazo máximo de un mes desde que se hubieren captado, excepto cuando deban ser conservados para acreditar la realización de actos que ataquen la integridad de personas, bienes o instalaciones; en dicho caso, las imágenes se pondrán a disposición de la autoridad competente en un plazo máximo de 72 horas desde que se tenga conocimiento de la existencia de la grabación.

Si bien, no será aplicable a los tratamientos de referencia la obligación de bloqueo establecida en el artículo 32 de la LOPDGDD.

A mayor abundamiento, la AEPD, en su Guía sobre el uso de cámaras y videocámaras para seguridad y otras finalidades, manifiesta que «con la aplicación del RGPD desde el 25 de mayo de 2018, debe considerarse que la mayor parte de la Instrucción 1/2006 ha quedado desplazada, ya que el contenido de la misma, como puede ser la legitimación o los derechos de las personas, queda desplazado por lo establecido al respecto por la norma europea. (...) No obstante, puede considerarse que queda en vigor lo dispuesto en el artículo 6 de la citada instrucción que regula el plazo de conservación, y que se refiere a que se produzca la cancelación de imágenes en el plazo máximo de un mes. Sin embargo, una interpretación acorde con el RGPD, ya que este no contempla la cancelación sino la supresión, supone que ese plazo de conservación de máximo de un mes no será de cancelación sino de supresión, salvo en aquellos supuestos en que se deban conservar para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones».

3. ¿En qué consiste el bloqueo de datos?

En virtud del apartado segundo del artículo 32 del texto legal de referencia, el bloqueo de datos consiste en «la identificación y reserva de los mismos, adoptando medidas técnicas y organizativas, para impedir su tratamiento, incluyendo su visualización, excepto para la puesta a disposición de los datos a los jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular de las autoridades de protección de datos, para la exigencia de posibles responsabilidades derivadas del tratamiento y solo por el plazo de prescripción de las mismas».

4. ¿Cuándo se entenderá cumplido el deber de información del artículo 12 del RGPD?

En primer lugar, el artículo 12 del RGPD regula la transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado. Así, el deber de información regulado en el antedicho precepto se estimará cumplido «mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información».

No obstante, el responsable del tratamiento deberá mantener a disposición de los afectados la información relacionada en el RGPD.

5. ¿Se aplicará el régimen jurídico expuesto a la captación de imágenes en nuestro propio domicilio?

Partiendo de la premisa de que el RGPD no se aplica al tratamiento de datos personales efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas, se considerará excluido de su ámbito de aplicación el tratamiento por una persona física de imágenes que únicamente capten el interior de su propio domicilio.

Sin embargo, dicha salvedad no comprende el tratamiento efectuado por las empresas de seguridad privada contratadas para la vigilancia del domicilio que pudieran acceder a las imágenes captadas. Para mayor comprensión de la cuestión que nos ocupa véanse los siguientes artículos de la Ley 5/2014, de 4 de abril, de seguridad privada (LSP):

• Actividades de seguridad privada (artículo 5.1. f de la LSP).
• Actividades compatibles (artículos 6.1.b, 6.4 y 6.5 de la LSP).
• Servicios de videovigilancia (artículo 42 de la LSP).
• Servicios de instalación y mantenimiento (artículo 46 de la LSP).
• Infracción del personal que desempeñe funciones de seguridad privada [artículos 58.1.k), 58.2.j) y 58.3.c) de la LSP].

Además, lo dispuesto en el artículo 22 de la LOPDGDD se entenderá sin perjuicio de lo regulado tanto en la citada Ley de Seguridad Privada como en su normativa de desarrollo.

6. ¿El derecho del empleador a tratar las imágenes obtenidas a través de sistemas de cámaras o videocámaras para el ejercicio de sus funciones de control de los trabajadores tiene algún límite?

Sí, conforme al art. 89 de la LOPDGDD,  el tratamiento por el empleador de datos captados mediante sistemas de cámaras o videocámaras se supedita a lo regulado en relación al derecho a la intimidad frente al uso de dispositivos de videovigilancia y de grabación de sonidos en el lugar de trabajo.