En un mundo cambiante, donde la tecnología cada vez está más presente en nuestro día a día, muchas empresas deciden instalar cámaras de videovigilancia para garantizar la seguridad de las personas, bienes e instalaciones, así como para verificar el cumplimiento por el trabajador de sus deberes y obligaciones laborales. Pero… ¿conoce el Reglamento respecto a cámaras de videovigilancia y protección de datos personales?
El nuevo Reglamento General de Protección de Datos (RGPD), cuya aplicación es obligatoria desde el 25 de mayo de este año, incorpora varias novedades en el ámbito de la videovigilancia y protección de datos personales, siendo las más destacables las siguientes:
LEGITIMACIÓN PARA LA VIDEOVIGILANCIA
Dispone el art.6 e) del RGPD, que el tratamiento será lícito cuando sea necesario para cumplir una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento.
Del mismo modo, el art.20.3 del Estatuto de los Trabajadores (ET), legitima al empresario para que adopte las medidas que estime más oportunas de vigilancia y control para verificar que los trabajadores están cumpliendo con sus deberes y obligaciones laborales.
Como la videovigilancia en la empresa tiene como objetivo garantizar la seguridad de las personas, bienes e instalaciones, así como verificar el cumplimiento laboral, el tratamiento está legitimado por el interés público.
PRINCIPIO DE PROPORCIONALIDAD
De acuerdo con lo establecido en el art.5.1 b) del RGPD, los datos sólo pueden ser tratados para los fines para los que han sido recogidos, en este caso, para garantizar la seguridad de personas, bienes e instalaciones así como para verificar que los trabajadores cumplen con sus deberes laborales.
Por ello, no es posible:
1.- Colocar cámaras en lugares públicos. – Dispone la Agencia Española de Protección de Datos (AEPD) que la captación de imágenes con fines de seguridad de la vía pública sólo puede realizarse por las Fuerzas y Cuerpos de Seguridad. No obstante lo anterior, en el caso de que las cámaras de videovigilancia capten imágenes de la vía pública, deberán orientarse de tal forma que graben sólo la parte más indispensable de la calle.
2.- Instalar cámaras en zonas de vestuarios, baños y espacios de descanso de los trabajadores. – Y es que, como señala el citado art.5 c) del RGPD, los datos personales obtenidos con las cámaras de videovigilancia serán adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (principio de minimización de los datos).
El principio de proporcionalidad y minimización de los datos se refleja también en el tipo y número de cámaras que quiere instalar el empresario, pues no es lo mismo que una cámara sea fija a que pueda hacer grabaciones con zoom o de 360 grados.
Otra de las opciones que recomienda la AEPD para cumplir con el principio de minimización es la utilización de “máscaras de privacidad”. De esta forma no se grabarán (ni por tanto almacenarán) más imágenes de las debidas.
Para saber cómo crear máscaras en cámaras de videovigilancia motorizadas pulsen el link que acompañamos a continuación: https://www.youtube.com/watch?v=uu2qT8EAFvI
MEDIDAS DE RESPONSABILIDAD PROACTIVA
El principio de responsabilidad proactiva también aparece en el mencionado art.5 del RGPD, más concretamente en su apartado segundo. Con este apartado, la ley exige a la empresa que sea capaz de demostrar el cumplimiento de las obligaciones que aparecen en su apartado primero en lo relativo a la grabación con cámaras de vidovigilancia y protección de datos personales, a saber:
Obligaciones
- Tratar los datos de una manera lícita, leal y transparente.
- Recoger los datos para unos fines determinados, explícitos y legítimos, y que no se traten posteriormente de una forma incompatible con dichos fines (salvo que se archiven con fines de interés público, investigación científica e histórica o fines estadísticos).
- Que los datos sean adecuados, pertinentes y limitados (principio de minimización de datos al que hemos hecho referencia con anterioridad).
- Que sean exactos y, en el caso de que fuera necesario, actualizados.
- Conservar los datos únicamente el tiempo que sea necesario. No obstante podrán mantenerse durante períodos más largos cuando se traten con fines de interés público, de investigación científica o histórica o fines estadísticos. Todo ello sin perjuicio de la aplicación de las medidas técnicas y organizativas que impone el RGPD para proteger los derechos y libertades del interesado.
- Que se garantice una seguridad adecuada de los datos personales, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas y organizativas adecuadas.
Medidas
Para garantizar que el tratamiento se está realizando de una manera adecuada, el RGPD enumera una serie de medidas que el responsable, y en algunas ocasiones los encargados deben aplicar. No obstante lo anterior, matizamos que no en todos los casos se deben aplicar todas estas medidas de una manera obligatoria:
- Delegado de protección de datos.
- Registro de actividades del tratamiento.
- Análisis de riesgos.
- Medidas de seguridad.
- Evaluación de impacto en la protección de datos.
- Privacidad desde el diseño y por defecto.
Además de estas medidas, la Agencia Española de Protección de Datos señala que se deben tener en cuenta:
Medidas adicionales
- Las relaciones entre el responsable y el encargado de tratamiento de las imágenes.
Para poder regular esta relación, tanto el responsable como el encargado de tratamiento deberán firmar un Contrato de Encargado de Tratamiento (CET) en el que se haga constar el objeto, la duración, la naturaleza y finalidad del tratamiento, el tipo de datos personales y categorías de interesados, así como las obligaciones y derechos del responsable.
En este sentido, el responsable tiene la obligación de seleccionar a un encargado del tratamiento que ofrezca garantías suficientes, es decir, que cumpla con el RGPD, y todo ello, en base al principio de responsabilidad proactiva.
- Conservación de las imágenes y comunicación de estas a terceros.
Podrán conservarse las imágenes durante un mes como máximo desde su captación. No obstante lo anterior, las imágenes se pueden conservar durante un plazo mayor siempre y cuando las Fuerzas y Cuerpos de Seguridad o los Juzgados y Tribunales las requieran.
- Derecho de las personas, incluyendo el derecho de información.
En el ámbito de la videovigilancia, las personas que sean grabadas (los interesados) podrán ejercitar ante los responsables y encargados de tratamiento los siguientes derechos:
- Acceso
- Supresión
- Limitación del tratamiento: entendiéndose como limitación la posibilidad de que el interesado solicite al responsable que conserve las imágenes)
Señalización
Además, en todos los casos se deberá informar de que existe un sistema de videovigilancia. Para ello se deberán colocar carteles informativos en los accesos a las zonas que van a ser grabadas. Estos carteles no tienen por qué tener una dimensión en concreto, si bien deberán estar proporcionados con la zona en la que vayan a ser ubicados y deberán indicar, como mínimo:
- La identidad del responsable.
- Ante quién y dónde dirigirse para ejercer los derechos previstos en la normativa de protección de datos.
- Dónde obtener más información sobre el tratamiento de los datos personales.
Junto con lo anterior, el RGPD exige hacer una comunicación personal a los trabajadores y a la representación sindical (en su caso). En este sentido, desde Ucelay Abogados recomendamos que dicha comunicación se realice a través de un medio que garantice la recepción de dicha información. Nunca deberá hacerse a través de direcciones ni móviles personales de los trabajadores.
Les facilitamos el modelo de cartel informativo que ha ofrecido la Agencia. Para la elaboración de un cartel personalizado con la información de la empresa, no dude en ponerse en contacto con nosotros.
