CÁMARAS DE VIDEOVIGILANCIA EN COMUNIDADES DE PROPIETARIOS Y PROTECCIÓN DE DATOS

Contenido de mi publicación

INTRODUCCIÓN

Las Comunidades de Propietarios pueden fijar medios de control, prevención y vigilancia de las zonas comunes del edificio mediante sistemas de videovigilancia, en el ámbito del desempeño de las funciones que la normativa vigente les atribuye mediante la Ley 49/1960,de 21 de julio, de Propiedad Horizontal.

Las imágenes, en cuanto piezas de información que permiten identificar a una persona o hacerla identificable ,se encuentran sometidas a la normativa vigente en materia de protección de datos ,fijada mediante el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, (Reglamento general de protección de datos, RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Dicha normativa establece el marco jurídico dentro del cual se deben desarrollar las funciones de videovigilancia por parte de Comunidades de Propietarios, fijando una serie de obligaciones que se traducen en una serie de medidas de naturaleza de carácter imperativo destinadas a posibilitar que la videovigilancia respete los principios rectores de la protección de datos en los que se materializa el derecho del individuo a la intimidad y a la propia imagen.

PRINCIPIOS RECTORES DEL TRATAMIENTO DE IMÁGENES

Cuando se realice el tratamiento de imágenes con fines de seguridad a través de los diversos sistemas existentes de captación, debe valorarse en primer lugar la legitimación para utilizar dichos sistemas de captación, así como los principios de limitación de la finalidad y minimización de datos que recoge la norma en su artículo 5.

Además, y en referencia al principio de responsabilidad proactiva, deben realizarse también una serie de actuaciones para que estos tratamientos se ajusten al contenido del RGPD.

El tratamiento de los datos de carácter personales que son las imágenes ,se encuentran sometidos a una serie de principios rectores establecidos mediante el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, (Reglamento general de protección de datos, RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

Son principios rectores de la protección de datos :

1.-Legitimación.

2.-Proporcionalidad.

3.-Limitación de la legitimidad.

4.-Minimización de datos.

5.-Medidas de responsabilidad proactiva.

6.-Derecho de información.

A.-LEGITIMACIÓN

El RGPD establece varios supuestos en su artículo 6 que legitiman el tratamiento de datos de carácter personal, entre los que se encuentra permitir el tratamiento cuando sea necesario para el cumplimiento de una misión de interés público.

B.-PROPORCIONALIDAD.

Este principio implica que los medios de obtención de los datos (imágenes) deben ser adecuados a la finalidad perseguida con su captación, evitando la obtención y el tratamiento de todas aquellas imágenes que no resulten necesarias o adecuadas para la obtención de dicha finalidad.

C.-LIMITACIÓN DE LA LEGITIMIDAD.

El RGPD recoge en su artículo 5 este principio, en virtud del cual, los datos personales será recogidos con fines determinados, explícitos y legítimos y no serán tratados ulteriormente de manera incompatible con dichos fines, de manera que los datos que sean objeto de tratamiento a través de la videovigilancia serán tratados para la finalidad que ha motivado la instalación de la misma y que está vinculada a garantizar la seguridad de personas, bienes e instalaciones.

CAPTACIÓN DE IMÁGENES DE LA VÍA PÚBLICA

Como regla general, la captación de imágenes con fines de seguridad de la vía pública debe realizarse por las Fuerzas y Cuerpos de Seguridad, estando prohibida, con carácter general, la captación de imágenes de la vía pública mediante sistemas de videovigilancia de carácter privado.

Existen, no obstante lo anterior, excepciones a dicha regla general, las cuales permiten captar la vía pública mediante sistemas de videovigilancia de carácter privado, siendo las mismas las siguientes :

1) Cuando resulte imprescindible la captación de la vía pública para dicho fin, o resulte imposible evitarlo por razón de la ubicación de aquéllas. Por lo tanto, las cámaras podrían captar la porción mínimamente necesaria para la finalidad de seguridad que se pretende.

2)Será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalaciones estratégicas o de infraestructuras vinculadas al transporte (estaciones de trenes, autobuses ,puertos y aeropuertos).

3)Zonas que permiten acceder a recintos privados, como es el caso de aparcamientos.

C.-MINIMIZACIÓN DE DATOS.

Otro de los principios que recoge el RGPD en su artículo 5 es el principio de minimización de datos, de forma que los datos objeto de tratamiento sean adecuados, pertinentes y limitados en relación con los fines para los que son tratados.

De este modo ,existen espacios que por sus condiciones podría ser desproporcionado la utilización de la videovigilancia, en vestuarios, taquillas y zonas de descanso de trabajadores.

Por otra parte, el mencionado principio también se proyecta a través del número de cámaras que se pretenda utilizar así como el tipo de las mismas, ya que no es lo mismo la captación de imágenes a través de una cámara fija que la que se realiza mediante las denominadas `domo´, que permite grabaciones de 360 grados, o aquellas que son móviles.

D.-MEDIDAS DE RESPONSABILIDAD PROACTIVA.

Este concepto, como principio esencial en el tratamiento de datos personales, se establece en el artículo 5 del RGPD al que hemos hecho referencia anteriormente. En concreto, según su apartado 2, la responsabilidad proactiva es una de las obligaciones del responsable del tratamiento en relación a los principios referidos en el apartado 1 del mismo artículo. Por lo tanto, es una de las nuevas obligaciones que se establecen en el RGPD para asegurar el cumplimiento de dichos principios, y que consiste en la capacidad del responsable, es decir, de la organización, de demostrar y proporcionar evidencias de dicho cumplimiento.

El RGPD establece un catálogo de medidas que el responsable y, en ocasiones los encargados, deben aplicar para garantizar que los tratamientos son conformes a la norma europea. No obstante, es preciso matizar que no en todos los casos, estas medidas deben aplicarse obligatoriamente. Dichas medidas son las siguientes :

1) Delegado de protección de datos.

El RGPD introduce como obligatorio la designación de un Delegado de Protección de Datos (DPD) por parte de responsables y encargados en los supuestos regulados en su artículo 37.1.

El DPD será una persona con conocimiento especializado en Derecho y la práctica en materia de protección de datos.

El DPD es de obligada implantación en Administraciones Públicas y en empresas y entidades privadas que, por razón del volumen de datos de carácter personal tratados se encuentren sometidos a la obligación legal de establecimiento.

Las Comunidades de Propietarios no se encuentran entre las entidades obligadas a contar con Delegado de Protección de Datos, si bien pueden contar con el mismo de forma potestativa. Suele ser habitual que las empresas de consultoría especializadas en la implantación de medidas de protección de datos que prestan dichos servicios a las Comunidades de Propietarios incluyan el nombramiento de un Delegado de Protección de Datos a favor de la C.P.

Por su parte, las empresas encargadas del mantenimiento de cámaras de videovigilancia que funcionan con emisión de imágenes a centralita, sí se encuentran obligadas a contar con Delegado de Protección de Datos.

2) Registro de actividades de tratamiento.

Con el RGPD desaparece la obligación de notificar la inscripción de ficheros, tanto de responsables públicos o privados, al Registro de Ficheros de la AEPD, o registro de la autoridad autonómica competente, sin perjuicio de la obligación de implementar el Registro de Actividades de Tratamiento.

Este Registro podrá organizarse sobre la base de las informaciones de los ficheros notificados al Registro General de Protección de Datos de la AEPD, si bien no es un registro de ficheros sino de tratamientos.

Para configurar este registro de tratamientos, se puede partir de operaciones de tratamiento concretas a una finalidad básica común de todas ellas, así como de los ficheros que ya se encuentre inscritos.

Aplicado este registro al tratamiento que se realiza con las cámaras, supondrá que la operación de tratamiento es la videovigilancia ligada a la finalidad de garantizar la seguridad.

Aunque se trate de un documento interno que deben elaborar responsables y encargados, el mismo tiene que estar en todo momento a disposición de la Autoridad de Control de protección de datos por si lo requiriese.

3) Análisis de riesgos y medidas de seguridad. Evaluación de impacto en la protección de datos.

Por otra parte, en aquellos supuestos en que el sistema utilizado no grabe o almacene las imágenes (cámaras que permiten el visionado el tiempo real pero no realizan grabación alguna), que con la Ley Orgánica 15/1999, de 13 de diciembre, al no existir fichero no tenían la obligación de realizar la inscripción, con el RGPD sí deben configurar este registro, ya que existe un tratamiento.

· Con la aplicación del RGPD desde el 25 de mayo de 2018, la obligación de inscripción de ficheros desaparece.

· El RGPD introduce que los responsables lleven un registro de las actividades de los tratamientos que realicen, en el que se deberá incluir determinada información, como por ejemplo, los fines del tratamiento, las categorías de datos personales o las medidas de seguridad.

· Los encargados de tratamientos también deberán implementar su respectivo registro. Es decir, las empresas de seguridad tienen que elaborar su registro de actividades en relación con su actividad como encargado respecto a cada responsable.

Por último, indicar que si se tratase de cámaras simuladas o ficticias no sería necesario elaborar este registro ni cumplir con el resto de obligaciones del RGPD, ya que no existiría un tratamiento de datos de carácter personal.

El RGPD obliga a que los responsables lleven a cabo una valoración del riesgo de los tratamientos que realicen, con el fin de establecer las medidas a aplicar.

Este análisis del riesgo variará en función de:

• Los tipos de tratamiento.

• La naturaleza de los datos.

• El número de afectados.

• La cantidad y variedad de tratamientos que realice una misma organización.

A través de este análisis de riesgos se determinarán las medidas de seguridad a aplicar en los tratamientos de datos que se lleven a cabo.

Según el artículo 32 del RGPD, las medidas técnicas y organizativas apropiadas para garantizar el nivel de seguridad adecuado al riesgo se definen en función del estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas.

En definitiva el primer paso para determinar las medidas de seguridad será la evaluación del riesgo a la que anteriormente nos hemos referido, y una vez evaluado será necesario determinar las medidas de seguridad encaminadas para reducir o eliminar los riesgos para el tratamiento de los datos.

Por tanto, la implementación de las medidas de seguridad cuando se lleve a cabo un tratamiento de datos mediante el uso de la videovigilancia dependerá del análisis de riesgo llevado a cabo previamente.

4) Comunicación de brechas de seguridad.

Cuando se produzca una brecha de seguridad que afecte a los tratamientos de cámaras con fines de seguridad, es decir, la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizado a dichos datos, el responsable del tratamiento que sufra dicha brecha, siempre que exista riesgo para los derechos y libertades de las personas físicas, deberá notificarlo a la AEPD, en un plazo máximo de 72 horas.

Contenido mínimo de la comunicación de la brecha de seguridad a la AEPD

• Naturaleza de la brecha de seguridad:

• Categorías de afectados (pj. menores, discapacitados, empleados, ciudadanos)

• Número aproximado de afectados

• Categorías de datos comprometidos (pj. identificativos, salud, laborales)

• Número de registros de datos personales afectados

• Nombre y datos de contacto del Delegado de Protección de Datos

• Posibles consecuencias de la brecha de seguridad sufrida

• Medidas adoptadas o propuestas para remediar esta brecha.

CÁMARAS IP

Especial consideración merecen las denominadas ‘cámaras IP, que permiten que la imagen captada por ésta sea visualizada en un ordenador remoto siempre que cámara y ordenador se encuentren conectados a la misma red IP como es el caso de internet.

La visualización de las imágenes captadas por la cámara puede realizarse desde cualquier ordenador conectado a internet a través del navegador habitual, sin más que invocar la dirección IP de la cámara y siempre que no se hayan establecido controles de acceso a la misma. Desde el mismo ordenador también es posible acceder al resto de funcionalidades disponibles en la cámara: zoom, movimiento horizontal, movimiento vertical, sonido, etc., así como grabar las imágenes recibidas.

Por lo general, las cámaras suelen disponer de mecanismos de control de acceso basados en usuario y clave de forma que, si este control se encuentra activado en la cámara, cualquier ordenador que invoque su dirección IP deberá pasar dicho control antes de poder acceder a los servicios ofrecidos por la cámara, incluidas las imágenes.

Es habitual también que los mecanismos de control de accesos vengan desactivados de fábrica o bien activados con usuarios y claves por defecto, resultando una práctica habitual que se instalen tal y como vienen de fábrica. Lo anterior hace que la cámara IP sea vulnerable, ya que deja a la cámara en una situación de “puertas abiertas”, sin más protección frente al acceso indebido de un tercero que conocer donde su localización en la Red, es decir, su dirección IP.

Esta situación, que en si misma pudiera considerarse de riesgo limitado dado el tamaño de la Red, resulta en la práctica de un riesgo elevado como consecuencia de los buscadores, y además, supondría una brecha de seguridad.

Antes de poner en funcionamiento una ‘cámara IP:

• Verifique el control de accesos para proceder a su activación.

• Cambie el usuario y contraseña que venga asignado por defecto.

5) Evaluación de impacto en la protección de datos.

Se trata de una herramienta de carácter preventivo que debe realizar el responsable del tratamiento para poder identificar, evaluar y gestionar los riesgos a los que están expuestas sus actividades de tratamiento con el objetivo de garantizar los derechos y libertades de las personas físicas.

Por lo tanto, y a los efectos de realizar las EIPD en videovigilancia, cuyo tratamiento supone una observación sistemática, el elemento que determinará la necesidad o no de su realización es que dicho tratamiento sea a gran escala.

Por ejemplo, y atendiendo a los criterios para determinar que existe gran escala, podría darse en la utilización de la videovigilancia en espacios de acceso público como pueden ser plazas, calles o grandes centros comerciales.

Asimismo, el mencionado documento del Grupo del Artículo 29 también se refiere a la necesidad de realizar una evaluación de impacto de la protección de datos, en base al artículo 35.1 del RGPD, cuando se utilicen nuevas tecnologías, que pueda implicar un alto riesgo para derechos y libertades de las personas.

De esta forma, podría ser necesaria la evaluación cuando se utilicen drones con fines de seguridad, o bien el tratamiento con fines de videovigilancia sea complementario con otros sistemas como pueden ser el reconocimiento facial o la huella dactilar para el control de acceso a instalaciones.

6) Privacidad desde el diseño y por defecto.

El RGPD contiene dos principios para la implementación efectiva de la responsabilidad proactiva, como son los de protección de datos desde el diseño y protección de datos por defecto.

El principio de protección de datos desde el diseño supone que la protección de datos ha de estar presente en las primeras fases de concepción de un proyecto y formar parte de la lista de elementos a considerar antes de iniciar las sucesivas etapas de desarrollo.

Por supuesto, estos requisitos se van a traducir en medidas técnicas y organizativas con el objeto de aplicar de forma efectiva los principios de protección de datos e integrar las garantías necesarias en el tratamiento.

Un ejemplo de dichas medidas, que se establece de forma expresa en el RGPD, es que el propio tratamiento incorpore medidas para la seudonimización de los datos personales o la minimización de datos.

Por su parte, la protección de datos por defecto supone que se adopten las medidas técnicas y organizativas apropiadas para garantizar que, como su nombre indica, por defecto, sólo sean objeto de tratamiento los datos personales necesarios para cada uno de los fines específicos del tratamiento.

En particular, se destaca como uno de los principios de protección de datos por defecto que los datos no sean accesibles a un número indeterminado de personas físicas, sin la intervención del sujeto de los datos.

Además, debe tenerse en cuenta lo siguiente respecto a la protección de datos por defecto:

• Recogida de datos: analizar los tipos de datos que se recaban con un criterio de minimización en función de los productos y servicios seleccionados por el usuario.

• Tratamiento de los datos: analizar los procesos asociados a dichos tratamientos para que se acceda a los mínimos datos personales necesarios para ejecutarlos.

• Conservación: implementar una política de conservación de datos que permita, con un criterio restrictivo, eliminar aquellos datos que no sean estrictamente necesarios.

• Accesibilidad: limitar el acceso por parte de terceros a dichos datos personales.

• Asimismo, y sobre la accesibilidad, se debe determinar quién puede acceder a las imágenes así como para qué fines. Todo ello debe estar debidamente documentado.

• Además de estas medidas, también debe tenerse en consideración lo siguiente:

• Las relaciones entre responsable y encargado de tratamiento de las imágenes.

• Conservación de las imágenes.

• Derechos de las personas, incluyendo el derecho de información.

• Comunicación de imágenes a terceros.

E.-DERECHO DE INFORMACIÓN.

Otra de las obligaciones que conlleva el uso de la videovigilancia con fines de seguridad, en relación con la protección de datos, es cumplir con el derecho de información, mediante un distintivo informativo.

Este distintivo se exhibirá en lugar visible, y como mínimo, en los accesos a las zonas vigiladas ya sean interiores o exteriores. En caso que el espacio videovigilado disponga de varios accesos deberá disponerse de dicho distintivo de zona videovigilada en cada uno de ellos.

El distintivo de zona videovigilada deberá informar acerca de:

1) La existencia del tratamiento (videovigilancia).

2) La identidad del responsable del tratamiento o del sistema de videovigilancia, y la dirección del mismo.

3) La posibilidad de ejercitar los derechos reconocidos en los artículos 15 a 22 del RGPD.

4) Dónde obtener más información sobre el tratamiento de los datos personales.

5) Asimismo, también se pondrá a disposición de los interesados el resto de la información que debe facilitarse a los afectados en cumplimiento del derecho de información regulado en el RGPD.

2.-ENCARGADO DEL TRATAMIENTO : CONTRATACIÓN DE UN TERCERO PARA EL TRATAMIENTO DE IMÁGENES.

El acceso a las imágenes de las cámaras por cuenta de terceros distintos del responsable del tratamiento deberá estar regulado por la existencia de un contrato.

Por ejemplo, cuando una entidad que ha instalado cámaras de videovigilancia, encarga a un tercero la gestión de las mismas, facilitando el acceso a las imágenes, deberá existir un contrato u otro acto jurídico con arreglo al Derecho de la Unión Europea, en el que se establezca el objeto, la duración, la naturaleza y finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable.

Asimismo, el RGPD determina el contenido mínimo de este contrato o acto jurídico, y que deberá de adaptarse a las circunstancias concretas de la prestación de los servicios y no ser una simple copia del contenido de las cláusulas del artículo 28.3 del RGPD y cuyo objetivo será garantizar el cumplimiento de la norma de acuerdo con las instrucciones del responsable.

Este contenido básico del contrato o acto jurídico de encargado de tratamiento, de forma resumida, sería el siguiente:

1) Las instrucciones del responsable del tratamiento.

2) El deber de confidencialidad.

3) Las medidas de seguridad.

4) El régimen de la subcontratación.

5) La forma en que el encargado asistirá al responsable en el cumplimiento de responder el ejercicio.

6) Derechos de los afectados.

7) La colaboración en el cumplimiento de las obligaciones del responsable.

8) El destino de los datos al finalizar la prestación.

Por otra parte, el responsable debe elegir un encargado del tratamiento que ofrezca garantías suficientes respecto a la implantación y el mantenimiento de las medidas técnicas y organizativas apropiadas, de acuerdo con lo establecido en el RGPD, y que garantice la protección de los derechos de las personas afectadas. Existe, por tanto, un deber de diligencia en la elección del responsable.

El Considerando 81 del RGPD prevé que el encargado del tratamiento debe ofrecer suficientes garantías en lo referente a conocimientos especializados, fiabilidad y recursos, con vistas a la aplicación de medidas técnicas y organizativas que cumplan los requisitos del Reglamento, incluida la seguridad del tratamiento, así como del cumplimiento de la normativa de protección de datos.

Por otra parte, aquellos sistemas de videovigilancia que vayan a estar conectados con una central receptora de alarmas o un centro de control, deberán cumplir lo previsto en la Ley de Seguridad Privada y demás normativa aplicable. En concreto, requerirán la prestación de servicios que únicamente pueden ser realizados por empresas de seguridad en virtud de sus condiciones y cualificación.

En este sentido, y respecto a la prestación de este tipo de servicios por las empresas de seguridad, éstas tendrán la condición de encargado de tratamiento.

Sin embargo, si la empresa de seguridad gestiona el sistema de videovigilancia en el domicilio de las personas físicas, adquiere la condición de responsable del tratamiento.

3.-CONSERVACIÓN DE IMÁGENES.

Con la aplicación del RGPD desde el 25 de mayo de 2018, debe considerarse que la mayor parte de la Instrucción 1/2006 ha quedado desplazada, ya que el contenido de la misma, como puede ser la legitimación o los derechos de las personas, queda desplazado por lo establecido al respecto por la norma europea.

Además, con el RGPD desaparece la obligación de inscribir ficheros a los que se refiere la Instrucción 1/2006.

No obstante, puede considerarse que queda en vigor lo dispuesto en el artículo 6 de la citada instrucción que regula el plazo de conservación, y que se refiere a que se produzca la cancelación de imágenes en el plazo máximo de un mes.

Sin embargo, una interpretación acorde con el RGPD, ya que este no contempla la cancelación sino la supresión, supone que ese plazo de conservación de máximo de un mes no será de cancelación sino de supresión, salvo en aquellos supuestos en que se deban conservar para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones.

4.-DERECHOS DE LAS PERSONAS CUYOS DATOS SON SOMETIDOS A TRATAMIENTO (ARTS.15--22 RGPD)

Los artículos 15 a 22 del RGPD regulan los derechos que los afectados que pueden ejercitar ante los responsables y encargados (en este último caso, cuando así se haya previsto entre el responsable y el encargado): acceso, rectificación, supresión, limitación del tratamiento, portabilidad, oposición, y oposición a decisiones individuales automatizadas.

No obstante, el ejercicio de estos derechos debe ser matizado en el ámbito de la videovigilancia.

En primer lugar, no resulta posible el ejercicio del derecho de rectificación ya que por la naturaleza de los datos -imágenes tomadas de la realidad que reflejan un hecho objetivo-, se trataría del ejercicio de un derecho de contenido imposible.

En segundo lugar, tampoco sería aplicable el derecho de portabilidad ya que, aunque se trata de un tratamiento automatizado, la legitimación no se basa ni en el consentimiento ni en la ejecución de un contrato.

En tercer lugar, no se aplicaría parte del contenido del derecho a la limitación del tratamiento, en su aspecto de “cancelación cautelar” que está vinculada al ejercicio de los derechos de rectificación y oposición.

Por otra parte, sí serían aplicables los siguientes derechos:

1) El derecho de acceso, si bien éste reviste características singulares, ya que requiere aportar como documentación complementaria una imagen actualizada que permita al responsable verificar y contrastar la presencia del afectado en sus registros. Resulta prácticamente imposible acceder a imágenes sin que pueda verse comprometida la imagen de un tercero. Por ello puede facilitarse el acceso mediante escrito certificado en el que, con la mayor precisión posible y sin afectar a derechos de terceros, se especifiquen los datos que han sido objeto de tratamiento.

Si se ejerciese el derecho de acceso ante el responsable de un sistema que únicamente reproduzca imágenes sin registrarlas (visionado de imágenes en tiempo real) deberá responderse en todo caso indicando la ausencia de imágenes grabadas.

2) El derecho de supresión, al que nos hemos referido anteriormente en relación con la supresión de las imágenes en el plazo máximo de un mes, sin perjuicio de la excepción referida

3) El derecho a la limitación del tratamiento, que se aplicaría en su otra vertiente, es decir, se solicite al responsable que se conserven las imágenes cuando:

4) El tratamiento de datos sea ilícito y el interesado se oponga a la supresión de sus datos y solicite en su lugar la limitación de su uso.

5) El responsable ya no necesite los datos para los fines del tratamiento pero el interesado si los necesite para la formulación, ejercicio o defensa de reclamaciones.

5.-COMUNICACIÓN DE IMÁGENES A TERCEROS.

En el ámbito que nos ocupa este tipo de comunicaciones sin consentimiento de los interesados ocurren con mayor frecuencia en los siguientes casos:

1) Cuando la comunicación de imágenes tengan por destinatarios los Jueces o Tribunales.

A los efectos de la legitimación para comunicar estos datos se aplica el cumplimiento de una obligación legal en base a lo recogido en el artículo 236 quáter de la Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial.

2) Cuando las Fuerzas y Cuerpos de Seguridad soliciten las grabaciones en aquellos supuestos que son necesarios para la prevención de un peligro real para la seguridad pública o para la represión de infracciones penales.

El RGPD determina en su artículo 2.2.d) su no aplicación al tratamiento de datos personales por parte de las autoridades competentes con fines de prevención, investigación, detección o enjuiciamiento de infracciones penales, o de ejecución de sanciones penales, incluida la protección frente a amenazas a la seguridad pública y su prevención, y que según su considerando 19, la protección de las personas físicas relativas a este tipo de tratamientos es objeto de un acto jurídico específico a nivel de la Unión.

En todo caso, la petición de las grabaciones en los supuestos descritos debe realizarse de forma motivada, y la entrega de las mismas debe ser proporcional a la finalidad del requerimiento realizado, sin que se produzca una comunicación indiscriminada.

Por otra parte, en ocasiones, los particulares solicitan acceder a determinadas imágenes grabadas por las cámaras de videovigilancia, para conocer la identidad de un tercero, a los efectos de poder ejercitar determinadas acciones judiciales y/o contractuales.

Este acceso se caracteriza por lo siguiente:

· Legitimación: el interés legítimo invocado debe referirse al ejercicio del derecho fundamental a la tutela judicial efectiva, en la medida que las imágenes se utilizarán para la obtención de pruebas para formular una posterior denuncia por delito, o reclamación por responsabilidad contractual, o extracontractual a una compañía de seguros.

· Finalidad compatible: esta comunicación de datos no persigue una finalidad diferente con la que se recogieron los datos, pues entra dentro del término amplio de “seguridad”, a los efectos descritos en el párrafo anterior.

· Minimización de datos: la cesión o comunicación de las imágenes de terceros debe limitarse al mínimo necesario para la finalidad pretendida, en la medida que el solicitante pueda determinar exclusivamente lo relacionado con el incidente concreto y específico a que se refiera su petición.

En todo caso, se recuerda que, de conformidad con la Ley de Enjuiciamiento Criminal (artículos 259,262 y 264) quien presencie la comisión de un delito debe comunicarlo a la Policía, Fiscalía o Tribunales.

6.-CAPTACIÓN DE IMÁGENES MEDIANTE SISTEMAS DE VIDEOVIGILANCIA EN COMUNIDADES DE PROPIETARIOS,VIVIENDAS Y ÁMBITOS PRIVADOS.

A.-COMUNIDADES DE PROPIETARIOS : ZONAS COMUNES DE EDIFICIOS DE VIVIENDAS.

La captación de imágenes en zonas o elementos comunes de comunidades de propietarios a través de sistemas de videovigilancia requiere el acuerdo de la Junta General de propietarios en los términos previstos en la Ley de Propiedad Horizontal.

Cumplido este requisito, la comunidad de propietarios como responsable del tratamiento, estará sujeta a las restantes obligaciones impuestas por la normativa de protección de datos.

Las cámaras sólo podrán captar las zonas comunes de la comunidad, no siendo factible la grabación de imágenes de la vía pública, a excepción de una franja mínima de los accesos al inmueble.

Tampoco se podrá realizar la captación de imágenes de terreros y viviendas colindantes o de cualquier otro espacio ajeno. En este último caso, si se usan cámaras orientables y/o con zoom, será necesaria la instalación de máscaras de privacidad para evitar esta grabación.

Carteles informativos.

Se instalarán en los distintos accesos a la zona videovigilada y, en lugar visible, uno o varios carteles que informen de que se accede a una zona videovigilada.

El cartel indicará de forma clara la existencia del tratamiento, la identidad del responsable, la posibilidad de ejercitar los derechos del artículo 15 a 22 del RGPD y una referencia a dónde obtener más información sobre el tratamiento de los datos personales.

· La AEPD dispone de un modelo de cartel.

· El acceso a las imágenes estará restringido a las personas designadas por la comunidad de propietarios.

· En ningún caso estarán accesibles a los vecinos mediante canal de televisión comunitaria.

· Si el acceso se realiza con conexión a internet, se restringirá con un código de usuario y una contraseña (o cualquier otro medio que garantice la identificación y autenticación unívoca), que sólo serán conocidos por las personas autorizadas a acceder a dichas imágenes.

· Una vez instalado el sistema, se recomienda el cambio regular de la contraseña, evitando las fácilmente deducibles.

· Se pondrá a disposición de los afectados la restante información que exige el artículo 13 del RGPD.

La información puede estar disponible en conserjería, recepción, oficinas, tablones de anuncios o ser accesible a través de internet.

· La contratación de un servicio de videovigilancia externo o la instalación de las cámaras por un tercero no exime a la comunidad del cumplimiento de la legislación de protección de datos.

La instalación de videocámaras en la piscina comunitaria, también se regirá por las reglas anteriormente descritas, puesto que se trata de una zona común de la comunidad de propietarios.

Limitaciones impuestas legalmente a los sistemas de videovigilancia en zonas comunes de edificios.

La implantación y el mantenimiento de sistemas de videovigilancia se encuentran sometidos a una serie de limitaciones impuestas mediante el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, (Reglamento general de protección de datos, RGPD) y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Entre las mismas,se encuentran las siguientes :

• Acceso restringido: Únicamente las personas expresamente designadas por la Comunidad de Propietarios podrán tener acceso a las imágenes.

• Prohibición de Canal de televisión comunitaria : Bajo ninguna circunstancia se permite que las imágenes del sistema de videovigilancia estén accesibles a los vecinos a través de un canal de televisión comunitaria.

• Seguridad en accesos por Internet: Si las imágenes se consultan de manera remota mediante internet, se debe proteger el acceso con un código de usuario y una contraseña segura e individualizada. Se recomienda evitar contraseñas por defecto y realizar cambios periódicos de las mismas.

B.-VIVIENDAS UNIFAMILIARES.

La instalación de sistemas de videovigilancia en viviendas unifamiliares posee unas características especiales:

· Si las cámaras se instalan en el interior de la vivienda se considera que se realiza en el ejercicio de una actividad personal o doméstica, a la que no le es aplicable la legislación de protección de datos.

· Si las cámaras se instalan en el exterior y pueden captar imágenes de personas en entradas, fachadas o medianerías, se aplicarán las previsiones del RGPD en los términos descritos en el apartado anterior.

En este último supuesto, cuando las cámaras se encuentran conectadas a una central de recepción de alarmas dichos servicios sólo podrán prestarse por empresas de seguridad privada que cumplan los requisitos establecidos en la Ley 5/2014, de 4 de abril, ostentando éstas la condición de responsables

C.-PLAZAS DE GARAJE.

La captación de imágenes por cámaras de videovigilancia en los espacios comunes de una comunidad de propietarios puede quedar incardinada en la esfera del interés legítimo de dicha comunidad y la finalidad de seguridad es también legítima.

Existirá un interés público de los particulares en la captación de imágenes mediante cámaras de videovigilancia para garantizar la seguridad de personas o instalaciones en los espacios de su propiedad, como puede ser su domicilio o su plaza de garaje.

Respecto a la instalación de cámaras en una plaza de garaje, que a su vez forme parte de un espacio compartido por el que puedan transitar el resto de los propietarios o terceros que acceden al mismo, las imágenes captadas por las cámaras se limitarán exclusivamente a la plaza de aparcamiento de la que sea titular el responsable del sistema de videovigilancia y a una franja mínima de las zonas comunes que no sea posible evitar captar para la vigilancia de la plaza de garaje, previa autorización de la Junta de Propietarios que deberá constar en las actas correspondientes.

Además, no se captarán imágenes de plazas de aparcamiento ajenas ni tampoco de la vía pública, terrenos y viviendas colindantes o de cualquier otro espacio ajeno.

D.-SERVIDUMBRES DE PASO.

Si existiese una servidumbre de paso sobre un inmueble o terreno, el propietario podrá también utilizar estos sistemas, siempre que cumplan los principios de proporcionalidad, sobre el terreno cubierto por la servidumbre, aunque por dicho terreno puedan transitar otras personas, entendiendo como tal, a todos aquellos que tienen constituida la servidumbre a su favor y las personas autorizadas.

El tratamiento de los datos no se encontraría excluido del ámbito de aplicación de la normativa de protección de datos, dado que al tratarse de una zona en que está sometida a una servidumbre de paso, resulta accesible no sólo por el titular de la vivienda y las personas autorizadas por este, sino por los terceros titulares del predio dominante de la servidumbre.

En estos casos el tratamiento sería conforme a lo dispuesto en el RGPD cuando tenga por objeto la finalidad legítima de preservación del propio inmueble.

El propietario del inmueble, como responsable del tratamiento, estará sujeto a las restantes obligaciones impuestas por la normativa de protección de datos.

E.-VIDEOPORTEROS

En aquellos casos en los que la utilización de videoporteros se limite a su función de verificar la identidad de la persona que llamó al timbre así como facilitar el acceso a la vivienda, no será de aplicación la normativa sobre protección de datos.

A)VIDEOPORTEROS DIGITALES.

La normativa de protección de datos será aplicable cuando los dispositivos realicen un tratamiento de datos personales vinculado a usos distintos de los que permiten los dispositivos analógicos tradicionales.

B) MIRILLAS DIGITALES.

La normativa de protección de datos será aplicable cuando los dispositivos realicen un tratamiento de datos personales vinculado a usos distintos de los que permiten los dispositivos analógicos tradicionales.

F.-ZONAS DE BAÑO

En el supuesto de las zonas de baño conviene precisar lo siguiente:

· La posibilidad de instalar cámaras en las piscinas de las comunidades propietarios, al ser una zona común, siempre que se adopte de conformidad con lo establecido en la Ley 49/1960, de 21 de julio, sobre propiedad horizontal.

· También se pueden instalar en piscinas y spas con fines de garantía de calidad sanitaria y de seguridad de las personas, siempre que se limiten a zonas de uso público y no a espacios reservados como vestuarios o aseos.

G.-GRABACIONES DE ADMINISTRACIONES PÚBLICAS Y ASAMBLEAS EN EL ÁMBITO PRIVADO.

En el ámbito de las Administraciones Públicas, la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, ha previsto que se puedan graban las reuniones que celebren los órganos colegiados, pudiendo el fichero resultante de la grabación acompañar al acta de las sesiones. Estas grabaciones deberán conservarse de forma que se garantice la integridad y autenticidad del citado fichero, así como el acceso al mismo por parte de los miembros del órgano colegiado.

Esta grabación de las sesiones podría incluirse en la regulación de funcionamiento del respectivo órgano colegiado, o a través de un instrumento como su reglamento de régimen interior.

Asimismo, también podría preverse si la grabación se va a utilizar como ayuda para la elaboración del acta, o va a formar parte de la misma como un anexo.

Por lo que se refiere a las grabaciones de asambleas (por ejemplo, en asociaciones, comunidades de propietarios o sociedades mercantiles), la grabación se legitimaría por el artículo 6.1.f) del RGPD en base al interés legítimo.

7.-SUPUESTOS DE EXCLUSIÓN DE APLICACIÓN DE LA NORMATIVA VIGENTE EN MATERIA DE PROTECCIÓN DE DATOS.

A.-TRATAMIENTO DE IMÁGENES EN EL ÁMBITO PERSONAL Y DOMÉSTICO.

El RGPD no se aplica al tratamiento de imágenes efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas.

Anteriormente, ya nos hemos referido a dos supuestos concretos, como serían los videoporteros y las mirillas digitales, siempre y cuando no reproduzca y/o graben imágenes.

Sobre la aplicación de esta excepción doméstica, no podrán entenderse exceptuados aquellos supuestos en los que la información tratada sea puesta en conocimiento de un número indeterminado o indefinido de personas.

Si un usuario de redes sociales actúa en nombre de una empresa o de una asociación o lo utiliza como una plataforma con fines comerciales, políticos o sociales, la excepción de ámbito personal o doméstico no se aplica.

Tampoco se aplica la excepción en aquellos casos en los que el tratamiento de estos datos pueda lesionar los derechos e intereses de las personas. A tal efecto, debe tenerse en cuenta que la utilización de las tecnologías de la información y las comunicaciones puede dar lugar a que un tratamiento de los datos inicialmente vinculado con la vida privada de quien lo realiza pueda implicar un acceso a información de un tercero que éste no desea que sea del dominio público.

B.-TRATAMIENTO DE IMÁGENES POR MEDIOS DE COMUNICACIÓN.

La publicación de imágenes en los medios de comunicación supone un ejercicio del derecho a la libertad de expresión e información que les confiere el artículo 20 de la Constitución Española.

En el supuesto de que algún particular considerase lesionado sus derechos por la publicación de imágenes, tendría que acudir a la vía judicial al amparo de lo dispuesto en la Ley Orgánica 1/1982, de 5 mayo.

En todo caso, el RGPD contiene un mandato a los Estados miembros para que concilien por ley el derecho a la protección de datos de la norma europea con el derecho a la libertad de expresión y de información, incluyendo el tratamiento con fines periodísticos y fines de expresión académica, artística o literaria.

C.-USO DE CÁMARAS SIMULADAS.

El RGPD se aplica cuando se produce un tratamiento de los datos personales de personas físicas.

En el caso de cámaras simuladas este tratamiento no existe, por lo que no cabe aplicar la citada norma, partiendo de la imposibilidad material de puesta en funcionamiento de las cámaras, por carecer de todos los elementos técnicos que fueran necesarios para su utilización.

No obstante lo anterior, conviene precisar lo siguiente : Si se tratara de cámaras reales desactivadas o que pueden ser activadas sin esfuerzos excesivos, deberán aplicarse los principios vigentes en materia de protección de datos personales y la normativa sectorial que resulte de aplicación.

D.-PROMOCIONES TURÍSTICAS Y FINALIDADES RELACIONADAS.

La difusión de imágenes con finalidad promocional a través de internet es una práctica cada vez más común, ya se trate de difundir un determinado ámbito corporativo -como fachadas de edificios o espacios singulares en empresas o instituciones-, ya se refiera a lugares de interés turístico. Únicamente cuando la captación y emisión de las imágenes no afecte a personas identificadas o identificables resultará excluida la aplicación del RGPD.

No sería de aplicación el RGPD cuando las imágenes muestren una panorámica general de una playa en la que no sea posible la identificación de las personas, como sería el caso cuando el objetivo de las imágenes fuera mostrar el estado del oleaje para proporcionar información a los aficionados del surf acerca de las condiciones para la práctica de este deporte.

Servicios

Asesoría Jurídica y Administración de Fincas

Contacto

CONTACTO

info@hspabogados.com

+34 657.604.959

© 2025. All rights reserved.