https://www.aepd.es
Han pasado más cuatro meses desde la entrada en aplicación del Reglamento General de Protección de Datos (RGPD) y aún hay responsables de tratamiento dándose de golpes contra la pared. Especialmente los responsables de tratar datos obtenidos a través de grabaciones de videovigilancia.
Llama especialmente la atención porque a diferencia del resto de tratamientos, a priori la información es mucho más accesible (por eso de la “cultura” heredada de la LOPD de poner el cartel informativo en un lugar visible). Últimamente no dejo de fijarme en los carteles, y aunque son pocos los actualizados a la normativa europea, los que lo están, en su mayoría, están mal.
Es destacable la parte referida a los derechos de los afectados y a la legitimación del tratamiento. En la inmensa mayoría de carteles, incluidas empresas multinacionales con inversiones en adecuación al RGPD no despreciables, figuran los seis derechos tipo del reglamento: acceso, rectificación, supresión, oposición, portabilidad, limitación del tratamiento.
Imaginemos… El día 8 de agosto voy a un Centro Comercial con la pierna escayolada y muletas. Antes de entrar, me encuentro un cartel que avisa de que voy a ser grabado con la finalidad de asegurar y controlar las instalaciones, y que esa grabación será conservada durante treinta días. También me indica que el tratamiento se realizará en base al interés legítimo de la compañía para proporcionar seguridad en las instalaciones a los usuarios y gestionar incidencias de seguridad. Que los destinatarios de las grabaciones serán las Fuerzas y Cuerpos de Seguridad del Estado, los Jueces y los Tribunales, y que me asiste el derecho de acceso, rectificación, supresión, oposición, portabilidad, y limitación mediante solicitud a una dirección email o a una dirección postal.
Bien, vayamos por partes.
Lo primero que hemos de tener en cuenta es el lugar donde se ubica el cartel. Este ha de estar en un lugar VISIBLE antes del lugar objeto de la grabación. Eso de poner el cartelito debajo de la cámara que te está grabando, MAL.
Lo segundo es la legitimación del tratamiento. Aquí hay un debate abierto. Para la Agencia Española de Protección de Datos (AEPD), el hecho de realizar una grabación está legitimado por un interés público (sic). Sin embargo, son muchos los que consideran que el interés público no impera en el ámbito privado, ergo debería legitimar la grabación el interés legítimo. Ante la duda, lo que diga “mamá” agencia va a misa, aunque podemos decir que ambas bases jurídicas generalmente podrían convivir.
Lo tercero es el derecho que asiste a los afectados en tratamientos cuyos datos son captados por la grabación de cámaras de videovigilancia, y aquí viene la miga.
Acceso: Sí, pero con muchos matices. La AEPD dice en su guía de videovigilancia que “resulta prácticamente imposible acceder a imágenes sin que pueda verse comprometida la imagen de un tercero. Por ello puede facilitarse el acceso mediante escrito certificado en el que, con la mayor precisión posible y sin afectar a derechos de terceros, se especifiquen los datos que han sido objeto de tratamiento”. Esto implica que el acceso a la grabación ha de hacerse sin atentar contra el artículo 18 de la Constitución Española que garantiza el derecho al honor, a la intimidad personal y familiar y a la propia imagen, y acorde a lo dispuesto en el artículo 20.5 de la misma en el que se promulga que solo podrá acordarse el secuestro de publicaciones, grabaciones y otros medios de información en virtud de resolución judicial. En conclusión, mucha suerte a aquel que decida ejercer este derecho y enseñarle a su pareja lo mono que iba con su pierna escayolada.
Rectificación: Por supuesto que no. ¿Cómo vamos a rectificar una imagen obtenida por videovigilancia? ¿Te imaginas? –Hola Sr. Responsable/DPD, quiero rectificar mi imagen. Verá, es que ese día tenía la pierna escayolada y hoy no. No tiene cabida.
Supresión: Sí, en el plazo máximo de un mes según lo recogido en el artículo 6 de la Instrucción 1/2006.
Oposición: No es aplicable, salvo que se acrediten motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses, derechos y libertades del interesado. Dado que este derecho se entiende como la imposibilidad de tomar imágenes en el marco de instalaciones de videovigilancia resulta que prevalecería la protección de la seguridad.
Portabilidad: No aplica en este caso. Tal y como dicta la AEPD en la guía referenciada anteriormente, “aunque se trata de un tratamiento automatizado, la legitimación no se basa ni en el consentimiento ni en la ejecución de un contrato”. Por tanto, el interés público (o legítimo), que es la base de legitimación utilizada para justificar las grabaciones de videovigilancia no aplica al ejercicio de este derecho.
Limitación del tratamiento: El interesado podrá ejercer el derecho a la limitación del tratamiento únicamente cuando “el tratamiento de datos sea ilícito y el interesado se oponga a la supresión de sus datos y, por tanto, solicite en su lugar la limitación de su uso” y cuando “el responsable ya no necesite los datos para los fines del tratamiento pero el interesado si los necesite para la formulación, el ejercicio o la defensa de reclamaciones”.
Si como hemos visto en este post, no aplican todos los derechos de los interesados, ¿por qué no dejamos de ver carteles informativos de videovigilancia haciendo alusión a todos ellos?
Ánimo a todos los responsables de estos tratamientos y a los delegados de protección de datos (DPD) encargados de dar respuesta o asesorar en la respuesta respecto a las solicitudes de ejercicio de derecho.
Para terminar os dejamos un enlace a los recursos que la propia AEPD ha incluido en el área de videovigilancia de su página web y al cartel de aviso de videovigilancia.
