Todo sobre la Ley de videovigilancia (LOPD, 4/1997, RGPD, 1/2006)

La videovigilancia es uno de los asuntos que causa más dudas en el terreno de la protección de datos. La entrada en vigor del RGPD y la LOPDGDD ha traído consigo algunos cambios respecto a la recogida y grabación de imágenes con cámaras de seguridad. Por eso en este post os contaré todo lo relacionado con la Videovigilancia y la Protección de Datos.

¿Qué entendemos por Videovigilancia?

La videovigilancia es el sistema que nos permite ver la imagen en directo de nuestra casa o negocio desde cualquier parte del mundo, a través de Internet, utilizando un ordenador, móvil o tableta.

Los sistemas de videovigilancia tienen varios usos:

• Permite grabar las imágenes de las cámaras mientras no estamos.
• Posibilita que podamos ver en tiempo real lo que está haciendo cada uno, controlar las diferentes dependencias y rincones sin tener que movernos y tener una visión global de todas nuestras instalaciones.
• También tienen efecto disuasorio contra los robos y el vandalismo.

Videovigilancia y protección de datos son dos términos que están muy unidos pero sobre los que todavía existen muchas dudas. Por eso, a lo largo de esta guía sobre videovigilancia vamos a intentar arrojar un poco de luz sobre estos conceptos.

Legislación sobre videovigilancia

La normativa de videovigilancia en España está compuesta por una serie de leyes, las cuáles vemos a continuación.

Ley Orgánica 4/1997 sobre videovigilancia

La Ley Orgánica 4/1997 regula la utilización de videocámaras por las fuerzas y cuerpos de seguridad en lugares públicos.

Esta ley de videovigilancia indica que las Fuerzas y Cuerpos de seguridad podrán utilizar videocámaras para grabar imágenes y sonidos en lugares públicos, abiertos o cerrados, y su posterior tratamiento, con el fin de:

• Asegurar la convivencia ciudadana,
• Erradicar la violencia,
• Velar por la utilización pacífica de las vías y espacios públicos
• Prevenir la comisión de delitos, faltas e infracciones relacionados con la seguridad pública.

Asimismo, esta norma establece específicamente el régimen de garantías de los derechos fundamentales y libertades públicas de los ciudadanos que habrá de respetarse ineludiblemente en las sucesivas fases de autorización, grabación y uso de las imágenes y sonidos obtenidos conjuntamente por las videocámaras.

Sin embargo, esta no es la única legislación sobre cámaras de vigilancia en España.

RGPD

El Reglamento Europeo de Protección de Datos o RGPD exige que las empresas que instalen cámaras de videovigilancia ofrezcan garantías del cumplimiento de las obligaciones del Reglamento, por lo que ha de poner a disposición del responsable de tratamiento toda la información necesaria para demostrar el cumplimiento de las obligaciones como encargado de tratamiento y permitir y contribuir a la realización de auditorías.

La normativa sobre cámaras de vigilancia dIspuesta en el RGPD introduce la obligación del responsable de tratamiento de diligencia en la contratación del encargado de tratamiento. Debe velar porque este cumpla los requisitos exigidos sobre videovigilancia en el RGPD.

En el caso de una observación sistemática a gran escala de una zona de acceso público, la norma establece como obligatoria una evaluación de impacto. En ella se determinará la necesidad y la proporcionalidad de las operaciones de tratamiento en relación a su finalidad.

El RGPD también establece mayores sanciones por cámaras de videovigilancia en caso de incumplimiento de la normativa.

LOPDGDD

¿Cómo se trata de la videovigilancia en la LOPD (ahora LOPDGDD o Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales?)

En el caso de la instalación de cámaras de videovigilancia la LOPDGDD exige una serie de requisitos y pautas ya que no todo vale.

La Ley habla de la Videovigilancia cuando se captan y graban imágenes que afectan a personas “identificadas e Identificables”. Esto sugiere, no obstante ciertos problemas en su aplicación.

Por un lado el Responsable del fichero deberá identificar si el uso que hace de la videocámara se encuentra sujeto a la Ley. Y, por otro lado, resulta complicado informar al titular de los datos y realizarlo con criterios idénticos, comprensibles y fácilmente identificables.

La Ley habla de la Videovigilancia cuando se captan y graban imágenes que afectan a personas identificadas e identificables.

La videovigilancia se considera un sistema invasivo, por eso la ley establece la obligación de cumplir una serie de condiciones para legitimar su tratamiento.

Esta ley, que desarrolla lo establecido en el RGPD, se refiere al uso de sistemas de videovigilancia en el art. 15. Aquí se establecen los requisitos en caso de instalar videocámaras:

• Plazo máximo de un mes para conservar las imágenes
• Obligación de informar a los afectados mediante el correspondiente cartel en el que debe indicarse:
  • Existencia del tratamiento,
  • Identidad del responsable y
  • Posibilidad de ejercitar los derechos de acceso, rectificación, cancelación, oposición, limitación o portabilidad.

Instrucción 1/ 2006

Regula la captación y el tratamiento de imágenes mediante Videovigilancia.

Los responsables que cuenten con sistemas de videovigilancia deberán cumplir con el deber de información previsto en la LOPD. A tal fin deberán colocar, en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados. Tiene que estar en un lugar visible y cumplimentado correctamente.

Requisitos para la instalación y uso de las cámaras de videovigilancia y Derechos de los usuarios

El nuevo Reglamento de Protección de Datos aumenta los requisitos para la instalación y uso de las cámaras de videovigilancia y para el tratamiento de los datos que se obtengan con las mismas. Esto supone más derechos para los usuarios.

Licitud y transparencia

Los datos e imágenes obtenidos con las cámaras deben ser tratados de forma lícita, leal y transparente. Esto supone que el responsable del tratamiento ha de ser transparente en todo caso con la información acerca de sus intenciones de tratamiento de datos del usuario. Y no debe ocultar al mismo ninguna finalidad con la que vaya a tratar su información.

Limitación

El tratamiento de las imágenes debe limitarse a la finalidad para la que se han obtenido. En este caso es el mantenimiento de la seguridad ciudadana.

Minimización de los datos

El uso de videocámaras debe basarse en el principio de proporcionalidad, en su doble versión de idoneidad y de intervención mínima. La intervención mínima requiere el equilibrio entre la finalidad perseguida y el posible daño al derecho al honor, a la propia imagen y a la intimidad de las personas. Además, se establece la prohibición de grabar conversaciones o demás sonidos, excepto cuando concurra un riesgo concreto y preciso.

Conservación de los datos

El RGPD establece que plazo de conservación de los datos personales será solo el tiempo necesario para cumplir con los fines del tratamiento de esos datos. Nuestra normativa indica que «las grabaciones serán destruidas en el plazo máximo de un mes desde su captación, salvo que estén relacionadas con infracciones penales o administrativas graves o muy graves en materia de seguridad pública, con una investigación policial en curso o con un procedimiento judicial o administrativo abierto«.

Integridad y seguridad

Los datos personales obtenidos con las videocámaras serán tratados de manera que se garantice su adecuada seguridad. Esto incluye la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas. Las personas que, en desarrollo de sus funciones, tengan acceso a las grabaciones deberán guardar la debida reserva, confidencialidad y sigilo en relación con las mismas.

Ficheros de videovigilancia

Hasta la llegada del RPGD, todas las empresas o particulares que utilizasen cámaras de videovigilancia para grabar imágenes estaban obligados a inscribir en la AEPD un fichero denominado «Videovigilancia». En él debían figurar todas las licencias de las instalaciones de videocámaras y las renovaciones. En esta inscripción tenía que incluirse:

• Datos del titular de la autorización
• Fecha
• Vigencia
• Ámbito de grabación y órgano encargado de la custodia
• Inutilización o destrucción de las grabaciones

Con la entrada en vigor del RGPD, ya no es necesario inscribir esos ficheros en la AEPD. El responsable del tratamiento debe realizar un Registro de actividades de tratamiento que se realicen a través de la videovigilancia.

Y analizar los riesgos que conlleva ese tratamiento para adoptar las medidas de seguridad, técnicas y organizativas adecuadas para reducir o eliminar esos riesgos.

La videovigilancia según la AEPD

La Agencia Española de Protección de Datos ha sacado una Guía  sobre el uso de videocámaras para seguridad y otras finalidades. Puesto que el Reglamento General de Protección de Datos (RGPD), es aplicable desde el 25 de mayo de 2018, el contenido de esta Guía incluye aquellas cuestiones que afectan al tratamiento realizado mediante cámaras según lo dispuesto en esta norma. Consulta el reglamento para saber más sobre videovigilancia y APED.

Sanción por incumplimiento de la LOPD

Varios centros del Corte Inglés ya han sido sancionados por no cumplir la normativa de Protección de Datos en materia de videovigilancia. En concreto, en el año 2011, un centro de Málaga fue sancionado con una multa de 60.000 € y en el año 2015, a otro centro de Las Palmas se le impone una sanción de 40.000 €.

Aunque el proceso de alta y tramitación para adaptarse a la LOPD pueda parecer fácil, debemos tener en cuenta diferentes aspectos. En todos los casos el procedimiento comienza a partir de una denuncia de particulares. La AEPD comprueba los hechos y detecta que existen varias cámaras que graban la vía pública pudiendo captar vehículos y ciudadanos que se encuentren en la calle. La Agencia considera que esto no es imprescindible para la finalidad alcanzada. Además de que no resulta «idóneo, adecuado ni proporcional».

Criterio de la AEPD

La Audiencia Nacional confirma esta resolución de la AEPD considerando que se produce «un tratamiento excesivo y desproporcionado de las imágenes en correspondencia con el ámbito y las finalidades que podrían justificar su recogida, toda vez que la seguridad solicitada podría obtenerse de igual manera a través de medios menos intrusivos para la intimidad de los afectados».

La AEPD estima que “La instalación de cámaras de videovigilancia en espacios públicos, al igual que la seguridad pública, es competencia exclusiva de las Fuerzas y Cuerpos de Seguridad».

En este caso el centro que se enfrenta a una sanción por este mismo motivo es el de Badajoz. Se trata de una infracción grave por lo que la multa puede ir desde los 40.000 € hasta los 300.000 €.

La compañía se defiende apuntando que ninguno de sus sistemas de videovigilancia incumple ya la Ley de Protección de Datos. Señalan que actualmente la compañía respeta el derecho de los ciudadanos y las cámaras solo enfocan la puerta. Añaden que no existe ninguna otra intención más allá de la seguridad y que ha habido otras denuncias en este sentido que no han salido adelante.

¿Cómo instalar cámaras de Videovigilancia con arreglo a la normativa?

Si decides instalar un sistema de videovigilancia en tu empresa es recomendable seguir una serie de pasos que te indico a continuación.

1. Elige el sistema de videovigilancia a instalar
2. Decide los lugares donde vas a instalar esas cámaras
3. Pon los carteles informativos
4. Visualiza el vídeo de vigilancia en el monitor

Sistema de videovigilancia a instalar

Para elegir el sistema de videovigilancia más confiable y adecuado para tu empresa, primero debes analizar tus necesidades especiales y tu presupuesto, ya que hay abundantes cámaras de seguridad, dvrs y kits de videovigilancia en el mercado.

Resulta más costoso monitorizar cada esquina de la empresa por lo que debes dar prioridad a las áreas específicas que deseas vigilar.

Lugar de instalación

Las ubicaciones recomendadas para colocar cámaras de seguridad son caminos, puerta delantera / trasera, puerta de entrada lateral, ventanas de la calle, patio interior o garaje. Debemos asegurarnos de que las ubicaciones identificadas no estén bloqueadas. También debemos tener en cuenta que existen determinadas zonas donde no se puede grabar.

Además, se deben incluir avisos para informar de que se trata de una zona de videovigilancia.

Prohibición de grabar en zonas de descanso de la empresa

La nueva ley de Protección de Datos, pendiente de aprobar en el Congreso, introduce expresamente la prohibición de instalar cámaras en zonas de ocio y descanso de los trabajadores. Por ejemplo, en comedores, salas de descanso, vestuarios y aseos.

No obstante, el tratamiento de las imágenes obtenidas con esas cámaras solo podrá realizarse para el ejercicio de las funciones de control por parte del empresario. Y siempre dentro del marco legal y los límites inherentes a ese control.

Por eso se establece la obligación de informar a los trabajadores de forma expresa y concisa de la instalación de cámaras de videovigilancia en el trabajo.

Cartel informativo

Debes poner un cartel en los lugares de instalación de las videocámaras y, en todo caso, en las entradas de la empresa. En este cartel debe aparecer la siguiente información:

• Datos del responsable del tratamiento. Debe indicarse no solamente el nombre, dirección e identificación fiscal del mismo, sino también en el caso que sea necesario, el nombre y contacto del Delegado de Protección de datos (DPD).
• Ejercicio de derechos. Habrá que indicar en este apartado:
  • datos necesarios para que el usuario sepa como proceder para ejercer sus derechos, recogidos en el RGPD: acceso, rectificación, cancelación, oposición, portablidad y limitación del tratamiento.
  • canal a usar (por correo ordinario, certificado, email, presencialmente, etc) y
  • documentación necesaria para llevar a cabo este ejercicio de derecho.
• Más información sobre el tratamiento. En este apartado se detallarán
  • datos necesarios sobre la legitimación del tratamiento,
  • personas interesadas,
  • cesiones o comunicaciones de datos,
  • periodos de retención y
  • toda la información accesoria necesaria para el cumplimiento del deber de informar.

Visualización

El último dispositivo que necesitas ahora es un monitor, sin importar si es un monitor de TV o una pantalla de ordenador. Siempre que las cámaras estén bien conectadas al DVR, puedes ver el video en el monitor.

Modelos informativos

Tendencias de videovigilancia para 2020

Las principales predicciones de tendencias clave para la industria de la seguridad en 2020 incluyen soluciones de seguridad de extremo a extremo mejoradas por inteligencia artificial (IA), ciberseguridad, Información de datos basada en la nube, protección de la privacidad y soluciones verticales especializadas.

El avance en tecnologías como AI, IoT y Cloud admitirá nuevos casos de uso junto con dispositivos y soluciones existentes para satisfacer las necesidades de los clientes en varias verticales, expandiendo el horizonte de nuestra industria.

Sin embargo, también debemos tener en cuenta la responsabilidad social y ética relacionada con áreas como la ciberseguridad y la protección de datos privados. El interés sostenido y la inversión en estas áreas deben considerarse como una obligación para garantizar que nuestra industria continúe prosperando en medio de los rápidos avances tecnológicos.

Estas son las nuevas tendencias.

Soluciones de seguridad de extremo a extremo de IA

A medida que la IA se adopte ampliamente en todas las industrias, es probable que se incorpore ampliamente en la videovigilancia este año.

La inteligencia artificial basada en bordes (que filtra y procesa los datos localmente en una cámara) será más universal y permitirá la tecnología de inteligencia artificial de extremo a extremo.

Actualmente, muchas cámaras de seguridad envían los datos que recopilan a los servidores para su análisis. Sin embargo, con la inteligencia artificial basada en el borde, la cámara analiza los datos primero y luego los envía al servidor. Esto reduce la carga de transferir y almacenar grandes cantidades de datos a un servidor, lo que aumenta la eficiencia, ahorra tiempo y reduce los costes del servidor que generalmente se requieren para analizar datos.

La seguridad cibernética

Con los dispositivos IoT cada vez más abundantes, la importancia de la ciberseguridad nunca ha sido tan grande.

Los ciberataques realizados actualmente son más avanzados e inteligentes que nunca. Esto hace que implantar sistemas de seguridad resistentes a los mismos ya no sea una opción, sino una obligación.

Las ciudades inteligentes, las fábricas, las instituciones financieras y los minoristas de hoy necesitan soluciones de videovigilancia escalables que estén estrechamente interconectadas con otros dispositivos y redes, lo que hace que la importancia de la ciberseguridad sea primordial.

Información de datos basada en la nube

En 2025 habrá alrededor de 175 zettabytes de datos en el mundo con gran parte de ellos almacenados en la nube y en los centros de datos de todo el mundo.

Al mismo tiempo, las soluciones de videovigilancia irán mucho más allá del funcionamiento como una simple herramienta de monitorización para convertirse en una ayuda indispensable para las organizaciones al proporcionar información útil que mejore las operaciones comerciales.

La importancia de servidores accesibles basados ​​en la nube que puedan almacenar y analizar fácilmente los datos acumulados también aumentará. Más allá de ser un repositorio de almacenamiento eficiente, los análisis sofisticados utilizarán el procesamiento en la nube para analizar los datos almacenados y proporcionar información útil.

Protección de la privacidad

Junto con la ciberseguridad, la protección de los datos personales debe ser parte integral de la ética empresarial de una empresa de videovigilancia.

Los datos de vídeo recogidos con la finalidad de seguridad normalmente incluyen información privada. Por lo tanto, proteger los datos de vigilancia es imprescindible.

En todo el mundo, se están introduciendo leyes de protección de la privacidad, como el Reglamento General de Protección de Datos (RGPD) en Europa y la Ley Federal de Gestión de Seguridad de la Información (FISMA) en EE. UU.

La Ley de Privacidad del Consumidor de California (CCPA) también entró en vigor en enero. Estas leyes obligarán a la industria de la videovigilancia a seguir las mejores prácticas de “privacidad por diseño” y renovar sus esfuerzos para proteger los datos personales del mal uso y abuso.

Las organizaciones son cada vez más conscientes de los peligros de las infracciones de datos privados y se vuelven más exigentes al elegir productos y soluciones de seguridad.

Soluciones Especializadas Verticales

Los mercados verticales en la industria de la seguridad requieren cada vez más dispositivos y soluciones más especializados para cumplir con sus requisitos únicos.

Con el surgimiento de la cuarta revolución industrial y el 5G, la presencia de verticales inteligentes será más prominente, y las compañías de videovigilancia deben estar preparadas para proporcionar soluciones para fábricas, ciudades inteligentes, minoristas y empresas de transporte.

Es un momento emocionante para ser parte del mercado de la seguridad, ya que en realidad apenas estamos comenzando a ver que, en lo que respecta a los avances tecnológicos, el cielo es el límite.

Yo diría que el núcleo de estas innovaciones es la recopilación de datos de vídeo, y a medida que trabajamos para desarrollar tecnologías que puedan aprovechar el poder de estas aplicaciones, continuaremos estando a la vanguardia de este movimiento hacia una mayor inteligencia y conocimientos comerciales.

Preguntas frecuentes

¿Casos en los que se aplica la LOPD al tratamiento de imágenes y excepciones?

Se aplicará esta normativa a los tratamientos de imágenes con la utilización de cámaras, videocámaras o cualquier mecanismo similar que capte y/o registre imágenes, se produzcan grabación de las mismas, se transfieran, se conserven o almacenen, incluso la reproducción y emisión en tiempo real, ya sea con fines de vigilancia u otros y que esas grabaciones afecten a datos de personas “identificadas” e “identificables“.

Los requisitos que tienen que cumplirse son:

• Que exista consentimiento del titular de los datos personales.
• Sólo una Ley puede exonerar de ese consentimiento. Como es el caso de lo establecido en el Estatuto de los Trabajadores sobre la Dirección y Control de la Actividad Laboral.
• No será necesario el consentimiento si los datos de carácter personal se recopilan para el ejercicio de las actividades propias de la Administración Pública, en el ámbito de sus competencias. Tampoco se exigirá el consentimiento cuando los datos de carácter personal aluden a las partes de un contrato o precontrato de una relación laboral o administrativa y son obligatorios para su mantenimiento y cumplimiento.
• Se establecen también otra serie de excepciones al consentimiento como:
  • cesión esté autorizada por ley,
  • se refiera a datos recolectados de fuentes accesibles al público,
  • si la comunicación se realiza al Defensor del Pueblo, al Ministerio Fiscal, Jueces o Tribunales en el desarrollo de sus competencias o
  • si lo determinan las Administraciones Públicas.

Casos en los que no se aplica la LOPD

No se aplicará en el ámbito personal y doméstico. Considerándose como tal el realizado por persona física en el ámbito de una actividad privada o familiar.

Tampoco al tratamiento de datos realizado por los medios de comunicación, en el ejercicio de sus derechos.

¿Cómo se deben captar y tratar las imágenes?

Los requisitos que deben cumplirse a la hora de recoger, acumular, reproducir o cancelar las imágenes son:

• Principio de Proporcionalidad entre la finalidad perseguida y la manera de tratar los datos.
• Deber de informar adecuadamente de la grabación de imágenes.
• Las cámaras de videovigilancia solo se usarán cuando no existan otros medios menos invasivos.
• Las cámaras de videovigilancia que se instalen en espacios “privados”, no podrán grabar imágenes de espacios “públicos”.
• Podrán captarse “imágenes parciales” y “limitadas” de vías públicas cuando sea imprescindible para el fin de vigilancia que se persigue.
• El sistema de vídeovigilancia deberá respetar los “derechos de las personas” y el resto de la normativa vigente. No se podrán captar imágenes de:
  • interiores de viviendas cercanas
  • baños, aseos o espacios físicos distintos al específicamente protegido por la instalación.
• Las imágenes se conservarán por tiempo indispensable para satisfacer la finalidad para la que se recabaron.

¿Las cámaras de videovigilancia deben ser gestionadas por empresas autorizadas?

No es obligatorio en todos los casos.

Sí es obligatorio cuando el personal encargado de la gestión intervenga activamente en relación con las personas sujetas a la videovigilancia. Por ejemplo, cuando la función sea:

• Pedir documentos de identificación a las personas,
• Supervisar controles de metales,
• Recoger y custodiar efectos de las personas, o
• Gestionar una central de recepción de alarmas.

La gestión puede realizarse por personal propio de la empresa cuando el objeto principal de las videocámaras sea:

• Mantenimiento del estado de instalaciones o bienes,
• Control de accesos” a apartamentos y garajes, y
• Actividades que en ellos se desarrollan.

¿Es necesario el consentimiento de las personas para captar sus imágenes?

No. El consentimiento es sólo una entre varias opciones.

Desde el punto de vista de la Protección de datos, cualquier organización que utilice videocámaras de vigilancia, necesita una base legítima que puede ser:

• Consentimiento
• Contrato
• Obligación legal
• Interés vital
• Utilidad pública
• Interés legítimo del responsable

El RGPD da a elegir entre cualquiera de las seis, sin preferir ninguna sobre las demás.

¿Pueden las empresas instalar videocámaras para control laboral?

Sí, pueden instalarlas en base al Estatuto de los trabajadores.

La empresa puede adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, siempre que reúnan las siguientes condiciones:

• Que sean medidas proporcionadas y guarden la consideración debida a la dignidad de los trabajadores.
• Que su única finalidad sea vigilar que cumplen con sus obligaciones laborales.
• Debe informar a los trabajadores de esa instalación mediante la colocación de un distintivo en un lugar visible del centro de trabajo.

Aquí tiene un modelo de comunicación a los trabajadores por la instalación de cámaras.

¿Pueden las cámaras grabar sonido?

La normativa sobre cámaras de seguridad también limita la grabación de sonidos, ya que solo se admitirá cuando resulten relevantes los riesgos para la seguridad de las instalaciones, bienes y personas derivados de la actividad que se desarrolle en el centro de trabajo.

Y siempre respetando el principio de proporcionalidad, el de intervención mínima y las garantías previstas.