- Las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con la finalidad de preservar la seguridad de las personas y bienes, así como de sus instalaciones.
- Solo podrán captarse imágenes de la vía pública en la medida en que resulte imprescindible para la finalidad mencionada en el apartado anterior.
No obstante, será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalaciones estratégicos o de infraestructuras vinculadas al transporte, sin que en ningún caso pueda suponer la captación de imágenes del interior de un domicilio privado.
- Los datos serán suprimidos en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservados para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, las imágenes deberán ser puestas a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tuviera conocimiento de la existencia de la grabación.
No será de aplicación a estos tratamientos la obligación de bloqueo prevista en el artículo 32 de esta ley orgánica.
- El deber de información previsto en el artículo 12 del Reglamento (UE) 2016/679 se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del Reglamento (UE) 2016/679. También podrá incluirse en el dispositivo informativo un código de conexión o dirección de internet a esta información.
En todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento.
- Al amparo del artículo 2.2.c) del Reglamento (UE) 2016/679, se considera excluido de su ámbito de aplicación el tratamiento por una persona física de imágenes que solamente capten el interior de su propio domicilio.
Esta exclusión no abarca el tratamiento realizado por una entidad de seguridad privada que hubiera sido contratada para la vigilancia de un domicilio y tuviese acceso a las imágenes.
- El tratamiento de los datos personales procedentes de las imágenes y sonidos obtenidos mediante la utilización de cámaras y videocámaras por las Fuerzas y Cuerpos de Seguridad y por los órganos competentes para la vigilancia y control en los centros penitenciarios y para el control, regulación, vigilancia y disciplina del tráfico, se regirá por la legislación de transposición de la Directiva (UE) 2016/680, cuando el tratamiento tenga fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, incluidas la protección y la prevención frente a las amenazas contra la seguridad pública. Fuera de estos supuestos, dicho tratamiento se regirá por su legislación específica y supletoriamente por el Reglamento (UE) 2016/679 y la presente ley orgánica.
- Lo regulado en el presente artículo se entiende sin perjuicio de lo previsto en la Ley 5/2014, de 4 de abril, de Seguridad Privada y sus disposiciones de desarrollo.
- El tratamiento por el empleador de datos obtenidos a través de sistemas de cámaras o videocámaras se somete a lo dispuesto en el artículo 89 de esta ley orgánica.
1. Finalidades del Tratamiento
a. Seguridad de Instalaciones y Personas
- Descripción: La videovigilancia puede ser utilizada para proteger bienes y personas, controlar el acceso y prevenir delitos.
- Ejemplo: Cámaras en una tienda para evitar robos o en un edificio para asegurar el acceso a zonas restringidas.
b. Prevención y Detección de Incidentes
- Descripción: Monitorear áreas para detectar incidentes o comportamientos sospechosos.
- Ejemplo: Cámaras en una entrada para detectar actividad inusual.
c. Protección Jurídica y Cumplimiento Normativo
- Descripción: La videovigilancia puede servir como prueba en casos legales o para cumplir con normativas específicas.
- Ejemplo: Grabaciones usadas en procedimientos judiciales o para cumplir con requisitos regulatorios.
2. Principios del Tratamiento
a. Licitud, Lealtad y Transparencia
- Descripción: La videovigilancia debe ser realizada de manera lícita, leal y transparente para los afectados.
- Ejemplo: Informar a los individuos mediante señalización clara sobre la presencia de cámaras.
b. Limitación de la Finalidad
- Descripción: Los datos recogidos deben ser utilizados solo para las finalidades específicas para las cuales fueron recogidos.
- Ejemplo: Las grabaciones de cámaras de seguridad no deben utilizarse para fines comerciales o no relacionados.
c. Minimización de Datos
- Descripción: Solo se deben recoger los datos necesarios para cumplir con el propósito del tratamiento.
- Ejemplo: Evitar la grabación de áreas no relevantes, como las oficinas privadas de empleados.
d. Exactitud
- Descripción: Asegurar que los datos recogidos sean precisos y actualizados.
- Ejemplo: Revisar regularmente la funcionalidad de las cámaras y la calidad de las grabaciones.
e. Limitación del Plazo de Conservación
- Descripción: Los datos deben ser conservados solo durante el tiempo necesario para cumplir con la finalidad para la cual fueron recogidos.
- Ejemplo: Establecer un período de retención para las grabaciones (e.g., 30 días) y eliminar las grabaciones antiguas.
f. Integridad y Confidencialidad
- Descripción: Proteger los datos contra el acceso no autorizado y el procesamiento indebido.
- Ejemplo: Implementar medidas de seguridad para proteger las grabaciones, como almacenamiento en servidores seguros y acceso restringido.
3. Requisitos Legales y Regulaciones
a. Información y Señalización
- Descripción: Debe informarse a los afectados sobre la videovigilancia mediante señalización visible y clara.
- Ejemplo: Colocar avisos en áreas vigiladas indicando la presencia de cámaras y los datos de contacto del responsable del tratamiento.
b. Evaluación de Impacto
- Descripción: Realizar una evaluación de impacto sobre la protección de datos (EIPD) si el tratamiento puede presentar riesgos elevados para los derechos y libertades de las personas.
- Ejemplo: Evaluar el impacto antes de implementar un nuevo sistema de videovigilancia que cubra áreas extensas o sensibles.
c. Derechos de los Afectados
- Descripción: Respetar y facilitar el ejercicio de los derechos de los afectados, como el derecho de acceso, rectificación, cancelación y oposición.
- Ejemplo: Permitir a los empleados o clientes solicitar acceso a las grabaciones que les afecten directamente.
4. Procedimientos y Buenas Prácticas
a. Diseño y Configuración del Sistema
- Descripción: Asegurarse de que el sistema de videovigilancia esté diseñado y configurado para cumplir con los requisitos de privacidad.
- Ejemplo: Configurar cámaras para capturar solo áreas necesarias y asegurar que las grabaciones sean almacenadas de manera segura.
b. Contratos con Proveedores
- Descripción: Asegurarse de que los contratos con proveedores de sistemas de videovigilancia incluyan cláusulas de protección de datos.
- Ejemplo: Incluir acuerdos que garanticen que el proveedor cumpla con los requisitos de seguridad y privacidad.
c. Capacitación del Personal
- Descripción: Capacitar al personal que gestiona el sistema de videovigilancia sobre las obligaciones de protección de datos.
- Ejemplo: Ofrecer formación sobre el manejo adecuado de las grabaciones y la seguridad de los datos.
d. Procedimientos de Acceso y Control
- Descripción: Implementar procedimientos para controlar quién tiene acceso a las grabaciones y cómo se manejan.
- Ejemplo: Restringir el acceso a las grabaciones solo a personal autorizado y mantener un registro de accesos.
e. Revisión y Auditoría
- Descripción: Realizar revisiones y auditorías periódicas del sistema de videovigilancia para asegurar el cumplimiento continuo.
- Ejemplo: Auditar el sistema anualmente para verificar la adherencia a políticas de protección de datos y ajustar prácticas si es necesario.
5. Aplicación Internacional y Consideraciones Adicionales
a. Normativas Internacionales
- Descripción: Cumplir con las normativas internacionales si se realiza videovigilancia que afecta a personas fuera del país.
- Ejemplo: Ajustar prácticas de videovigilancia para cumplir con regulaciones de protección de datos en países donde operan filiales.
b. Consideraciones Culturales y Éticas
- Descripción: Tener en cuenta consideraciones culturales y éticas relacionadas con la privacidad y la videovigilancia.
- Ejemplo: Adaptar prácticas para respetar las sensibilidades culturales y las expectativas de privacidad en diferentes regiones.