El uso de cámaras de videovigilancia se ha convertido en una medida de seguridad habitual en todo tipo de comunidades y organizaciones. Aún así, y pese a su popularidad y eficacia, el uso de estas herramientas implica cumplir con una serie de protocolos y garantías.
Hay que tener en cuenta, que las cámaras graban a personas, y estas personas pueden ejercitar los derechos que les corresponden. De este modo, una grabación no será lícita si los afectados no son informados de que están siendo grabados, o si no existe una base legal para ello. Además, las posibilidades que estos instrumentos de grabación pueden tener son limitados, pues hay que restringirse a áreas privadas, y sin que se vea comprometido el derecho a la intimidad personal (como puede ser en el caso de los trabajadores de una empresa).
HECHOS
En el presente caso, la empresa MEGASTAR, S.L., una compañía dedicada a la fabricación y comercializacón de materiales y aparatos electrónicos, tenía instalado un sistema de videovigilancia para el control de sus instalaciones.
Con fecha de 7 de mayo de 2019, se presenta ante la Agencia Española de Protección de Datos («AEPD»), una reclamación contra la citada entidad porque esta cuenta con cámaras mal orientadas, «obteniendo imágenes desproporcionadas«. La AEPD, al examinar las alegaciones de ambas partes, así como las pruebas documentales, constata que:
«[…] La cámara D2 permite obtener imágenes del parque cercano, así como de latotalidad de la acera por dónde se transita habitualmente, afectando de esta manera alderecho de terceros.
La cámara D3 permite obtener imágenes del parque cercano, así como de latotalidad de la acera por dónde se transita habitualmente.
La cámara D8 permite obtener imágenes parciales de un terreno de juego adyacente, siendo desproporcionada a la finalidad pretendida que es la protección delas instalaciones.
La cámara D9 obtiene imágenes de un patio cercano en su totalidad, observando más allá de la fachada, estando mal orientada en cuanto a la finalidad pretendida. […]»
De este modo, el sistema instalado no se ajusta a la legalidad vigente, ya que varias cámaras están mal orientas, obteniendo imágenes de una vía pública, en la que circulan terceros, sin causa justificada.
¿Qué se entiende por vía pública?
La Real Academia Española define «vía pública» como: «Calle, plaza, camino u otro sitio por donde transita o circula el público”.
La AEPD señala que, aunque no se mencione titularidad alguna, la titularidad privada de un terreno abierto no es justificación suficiente para la grabación de imágenes, por mucho que se trate de un “lugar público”.
¿Qué requisitos debe cumplir el tratamiento de imágenes de un sistema de videovigilancia?
La AEPD hace una enumeración exhaustiva de una serie de requisitos a tener en cuenta a la hora de llevar a cabo el tratamiento de imágenes captadas mediante sistemas de videovigilancia:
- Debe respetarse el principio de proporcionalidad.
- Si el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada (artículo 5 de la Ley 5/2014 de Seguridad Privada, de 4 de abril).
- Las videocámaras que se instalen no podrán captar imágenes de las personas que se encuentren fuera del espacio privado en donde esté instalado el sistema de videovigilancia. El tratamiento de imágenes en lugares públicos sólo puede ser llevado a cabo, salvo autorización gubernativa, por las Fuerzas y Cuerpos de Seguridad, de modo que, en otro caso, deberá existir causa legal suficientemente justificada.
- Ha de cumplirse con el deber de informar a los afectados [artículos 12 y 13 del Reglamento General de Protección de Datos 2016/679 (“RGPD”)].
- El responsable del tratamiento deberá llevar un registro de actividades de los tratamientos de datos efectuados bajo su responsabilidad (artículo 30.1 del RGPD).
INFRACCIÓN COMETIDA
Los hechos descritos se enmarcan dentro una infracción del artículo 5.1 letra c) del RGPD, tipificada en el artículo 83.5 del mismo cuerpo legal.
La AEPD tiene en cuenta para motivar la sanción:
- La naturaleza de la infracción, al verse afectados derechos de terceros [artículo 83.2 a)del RGPD].
- La intencionalidad o negligencia en la conducta, pues no se adoptaron las medidas oportunas para evitar la obtención de imágenes de una zona pública [artículo 83.2 b) del RGPD].
SANCIÓN
La sanción impuesta a MEGASTAR, S.L. es de 2000 euros. No obstante, la entidad, al llevar a cabo el pago voluntario de la cantidad propuesta, logra una reducción de un 20% del total de la multa (artículo 85.2 de la Ley 39/2015 del Procedimiento Administrativo Común de las Administraciones Públicas). De este modo, la sanción final es de 1600 euros.
******************************************
PRINCIPIOS RELATIVOS AL TRATAMIENTO
Artículo 5.1 letra c) RGPD:
«1. Los datos personales serán: (…) c) adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados («minimización de datos»); […].»
CONDICIONES PARA LA IMPOSICIÓN DE MULTAS ADMINISTRATIVAS
Artículo 83.5 letra a) RGPD:
«5. Las infracciones de las disposiciones siguientes se sancionarán, de acuerdo con el apartado 2, con multas administrativas de 20 000 000 EUR como máximo o, tratándose de una empresa, de una cuantía equivalente al 4 % como máximo del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la de mayor cuantía: (…) a) los principios básicos para el tratamiento, incluidas las condiciones para el consentimiento a tenor de los artículos 5, 6, 7 y 9; […].»
******************************************
RESOLUCIÓN AEPD – PROCEDIMIENTO Nº: PS/00279/2019
Legislación vigente:
– RGPD [Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos)].
– LOPDGDD (Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y Garantía de los Derechos Digitales).
