Tal y como ya habíamos previsto, Alfonso Pacheco y yo mismo (Artículo publicado en “El Mundo”, edición impresa de Baleares, del día 23 de enero de 2010 – se puede leer en este enlace), la aplicación de la Ley 25/2009, iba a suponer el archivo de los procedimientos sancionadores iniciados por la Agencia Española de Protección de Datos, referentes a la instalación de videocámaras, instalación no efectuada por empresas de seguridad.
Lo que no se ha dicho es que, en nuestra opinión, esta reforma puede afectar seriamente a todos aquellos procedimientos y resoluciones sancionadoras de la AEPD en curso motivados por no haber sido realizada la instalación de videovigilancia por empresa de seguridad privada. Uno de los principios básicos del derecho sancionador es el de aplicación retroactiva de la norma más favorable,…
Es de esperar, que vayan produciéndose más archivos de actuaciones sobre los procedimientos ya iniciados o los futuros. Pero, ojo, siempre que cumplan con el resto de obligaciones, establecidas en la Instrucción 1/2006 de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras.
Dado que este procedimiento sancionador recoge casi todas las situaciones y obligaciones en materia de videovigilancia, he procedido a hacer un resumen del mismo, que cito a continuación:
Procedimiento Nº PS/00623/2009
RESOLUCIÓN: R/02803/2009
En el procedimiento sancionador PS/00623/2009, instruido por la Agencia Española de Protección de Datos a la entidad CORPORACION, vista la denuncia presentada por el AREA DE GOBIERNO DE SEGURIDAD Y MOVILIDAD-CUERPO POLICIA MUNICIPAL y en base a los siguientes,
ANTECEDENTES
PRIMERO: Con fecha 23 de enero de 2009 tiene entrada en esta Agencia, escrito remitido por … la Policía Municipal de Madrid, adjuntando Acta de Inspección realizada por dicho cuerpo en el establecimiento …,
…
HECHOS PROBADOS
…
TERCERO: … Las cámaras se encuentran ubicadas en el interior del establecimiento , en la zona de cajas y la sala. No hay cámaras instaladas en vía pública. La finalidad de la instalación de las cámaras es el control interno del funcionamiento del establecimiento y medida disuasoria frente a delitos de hurto cometidos en el local. Son cámaras IP, con las que se puede visualizar las imágenes captadas en la pantalla del ordenador al que están conectadas. Dicho ordenador está protegido con una clave, …
CUARTO: La entidad denunciada remite copia del cartel informativo conforme a la Instrucción 1/2006, instalado en la puerta de acceso al establecimiento, formulario informativo a disposición de los interesados y protocolo de actuación a seguir en caso de solicitud de acceso, ..
QUINTO: Respecto a la empresa instaladora, CORPORACIÓN manifiesta que las cámaras fueron instaladas por la empresa SISTEMAS, S.L. que “al no ser una empresa de seguridad, no necesita autorización ni inscripción en el Ministerio del Interior”.
SEXTO: Consta aportada copia, del contrato de prestación de servicios de seguridad firmado con la empresa SEGURIDAD S.L., de fecha 2 de diciembre de 2009, encargada actualmente del mantenimiento de las videocámaras instaladas. Asimismo dicho contrato se encuentra visado por la Policía …
SÉPTIMO: … la empresa de seguridad … se encuentra autorizada e inscrita en el Registro de Empresas de Seguridad …
FUNDAMENTOS DE DERECHO
I
…
II
…
En el caso que nos ocupa, el establecimiento “XXXXX”, tiene instaladas, cuatro cámaras de videovigilancia ubicadas en la zona de cajas y en la sala de clientes. Son cámaras IP, con las que se puede visualizar las imágenes captadas en la pantalla del ordenador al que están conectadas. A las imágenes se acceden mediante una clave por el responsable de gestión operativa. …
… de conformidad con la normativa y jurisprudencia expuesta, la captación de imágenes a través de videocámaras, … , constituye un tratamiento de datos personales, cuyo responsable se identifica, en el presente caso, con CORPORACIÓN, titular del establecimiento donde se encuentran instaladas la videocámaras, toda vez que es aquélla la que decide sobre la finalidad, contenido y uso del citado tratamiento.
III
…
En el presente caso, CORPORACIÓN como titular del establecimiento donde se encuentran instaladas las cámaras, es responsable del tratamiento …
IV
…
… la reproducción de imágenes a tiempo real, como es el caso que nos ocupa, aunque éstas no se graben, suponen un tratamiento de datos personales al amparo no sólo desde el ámbito de aplicación de la Instrucción 1/2006, sino de la Ley Orgánica 15/1999. Ahora bien, sobre la cuestión sobre si este tipo de tratamiento, genera o no fichero, es preciso indicar que el artículo 7.2 de la Instrucción 1/2006, establece: “A estos efectos, no se considerará fichero el tratamiento consistente exclusivamente en la reproducción o emisión de imágenes en tiempo real”.
…
Respecto al modo de ejercitar los derechos de acceso, rectificación, cancelación y oposición de los afectados, … el responsable de la instalación, deberá atender la solicitud de acceso, y responderla en el plazo de un mes, indicando que se carecen de datos personales del afectado, debido a la inexistencia de fichero.
En el caso que nos ocupa, no se pudo acreditar que en el establecimiento se realizaran grabaciones de las imágenes captadas por las cámaras, pero sí la visualización de las mismas, siendo reconocido este hecho por el administrador de la sociedad …
En el caso de que dichas imágenes fueran grabadas, el titular del establecimiento denunciado debería proceder a la inscripción de dicho fichero, en el Registro General de Protección de Datos de esta Agencia.
En el presente procedimiento, la mercantil CORPORACIÓN, ha aportado distintivo informando de la existencia de dichas cámaras, acorde al que hace referencia el citado artículo 3.a) de la Instrucción 1/2006, en relación al artículo 5 de la LOPD, instalado en la puerta de acceso al establecimiento. Asimismo, dispone de los modelos de formularios informativos a disposición de todos los interesados, …
- En segundo lugar respecto a las alegaciones realizadas por CORPORACIÓN relativas a que la finalidad de la instalación de las cámaras es el control interno del funcionamiento del establecimiento y medida disuasoria frente a delitos de hurto cometidos en el local, hay que realizar varias aclaraciones previas respecto al consentimiento en el ámbito laboral. …
El artículo 3 h) de la LOPD lo define como “Toda manifestación de voluntad libre, inequívoca, específica e informada mediante la que el interesado consienta el tratamiento de datos personales que el conciernen”.
…
La concurrencia de estos requisitos resulta de difícil cumplimiento en el ámbito laboral. En consecuencia, vista la dificultad que entraña obtener el consentimiento, la Agencia Española de Protección de Datos, ha entendido que lo procedente es acudir a las normas que legitimen el tratamiento de los datos. Por tanto, en el ámbito laboral, el Ordenamiento Jurídico Español, regula en el Estatuto de los Trabajadores, … los poderes de Dirección del empresario y es en ése articulado donde hallamos la oportuna legitimación.
…
De todo ello se desprende que el empresario, se haya legitimado para tratar las imágenes de los trabajadores en el ámbito laboral, al amparo del artículo 20.3 del ET. Ahora bien, esta legitimación no es absoluta y exige por parte del empresario la obligación de informar de dicho tratamiento a los trabajadores
…
En el caso que nos ocupa, CORPORACIÓN, alega que el sistema de videovigilancia tiene un uso de supervisión del funcionamiento del negocio. Es necesario en este punto, diferenciar si la instalación de la cámara en el establecimiento denunciado es como medida de vigilancia y control del empresario, para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales o si es una medida de seguridad para proteger la instalación y sus empleados.
En el primer caso, es decir cuando el objetivo de la instalación de las cámaras va dirigido a la vigilancia del cumplimiento por los trabajadores de sus deberes laborales, el empresario estaría legitimado para tratar las imágenes de los trabajadores en el ámbito laboral, sin contar con el consentimiento previo de los empleados, al amparo del artículo 20.3 del ET. Ahora bien, tales prácticas se encuentran plenamente sometidos a la LOPD y la Instrucción 1/2006 debiendo garantizar en todo caso el derecho de información en la recogida de las imágenes con información específica a la representación sindical, mediante el cartel anunciador y el impreso establecido por la Instrucción 1/2006 y mediante información personalizada a cada trabajador.
En el segundo caso, es decir cuando la finalidad es de videovigilancia y protección de las instalaciones y personal de la empresa, además del cumplimiento del deber de información se requeriría el consentimiento del afectado, salvo que una ley disponga lo contrario.
…
… el establecimiento de presunciones de consentimiento establecidas por la entidad denunciada, en base a que los clientes han sido informados mediante el cartel informativo de la existencia de las cámaras, aceptando entrar en el establecimiento, resulta irrelevante, pues dar carta de naturaleza a este tipo de interpretaciones pulverizaría esta exigencia esencial del consentimiento, porque dejaría de ser inequívoco para ser “equivoco”, es decir, su interpretación admitiría varios sentidos y, por esta vía, se desvirtuaría la naturaleza y significado que desempeña como garantía en la protección de los datos, e incumpliría la finalidad que está llamado a verificar …
…
Por lo tanto, a la vista de lo expuesto, de la existencia de cartel informativo de la presencia de las cámaras, no se puede inferir un consentimiento por parte de las personas captadas por dichas cámaras al tratamiento de sus imágenes,… Tiene que diferenciarse claramente el deber de información, de la prestación de consentimiento dado que la existencia de la primera no conlleva implícitamente la obtención de la segunda.
V
…
Partiendo del tratamiento de imágenes de personas físicas identificadas o identificables como un tratamiento de datos personales, … para poder realizar dicho tratamiento se debe contar con la legitimación establecida en el mencionado artículo 6.1 “in fine” de la LOPD.
Por tanto o se obtiene el consentimiento de cada uno de los que transiten por los lugares en los que se encuentren instaladas las cámaras o se cumplen los requisitos que la legislación en la materia establece, para que el tratamiento sea legítimo.
…
Sin embargo, durante la tramitación del presente procedimiento sancionador, se ha producido la publicación de la Ley 25/2009, ...
Así, hasta la entrada en vigor, el pasado 27 de diciembre de 2009, de la Ley 25/2009, de modificación de diversas leyes para su adaptación a la Ley sobre el libre acceso a las actividades de servicios y sus ejercicio(conocida como “Ley Ómnibus”), la legitimación del tratamiento de los datos de carácter personal en materia de videovigilancia, a excepción de los casos, prácticamente imposibles dada su dificultad práctica, en los que se hubiera obtenido el consentimiento inequívoco de cada una de las personas … , podía proceder, en función del ámbito de aplicación, bien de la Ley 23/1992 de Seguridad Privada (en adelante LSP), o bien de la Ley Orgánica 4/1997 por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos.
La Ley Ómnibus ha suprimido para la mayor parte de los casos estas exigencias, al liberalizar la comercialización, entrega, instalación y mantenimiento de estos dispositivos, de forma que ya no será necesario acudir para su puesta en funcionamiento a una empresa de seguridad privada ni cumplir las obligaciones de notificación del contrato al Ministerio del Interior.
…
La interpretación de la mencionada disposición determina que cualquier particular o empresa cuya actividad no sea la propia de una empresa de seguridad privada podrá;“vender, entregar, instalar y mantener equipos técnicos de seguridad” sin necesidad de cumplir las exigencias previstas en la Ley de Seguridad Privada para tales empresas. De este modo, dado que la Ley permite la instalación y mantenimiento de dichos equipos por empresas distintas a las de seguridad privada, legitima a quienes adquieran de estos dispositivos para tratar los datos personales derivados de la captación de las imágenes en espacios privados sin necesidad de acudir a empresas de seguridad privada, …
No obstante, la instalación de un sistema de videovigilancia conectado a una central de alarma, sí seguirá requiriendo la concurrencia de los requisitos exigidos hasta ahora…
Por lo tanto en el caso que nos ocupa y tras la aplicación de la Ley Ómnibus como ley más favorable, no se requeriría a la citada entidad que el dispositivo de videovigilancia instalado en el interior del establecimiento de su propiedad haya sido instalado por una empresa de seguridad autorizada, pudiendo tratar los datos personales derivado de la captación de las imágenes resultantes,
Vistos los preceptos citados y demás de general aplicación,
El Director de la Agencia Española de Protección de Datos RESUELVE:
PRIMERO: ARCHIVAR a la entidad CORPORACION, por una infracción del artículo 6 de la LOPD, tipificada como grave en el artículo 44.3.d) de dicha norma.
SEGUNDO: NOTIFICAR la presente resolución a CORPORACION, al AREA DE GOBIERNO DE SEGURIDAD Y MOVILIDAD-CUERPO POLICIA MUNICIPAL.