10 obligaciones en materia de videovigilancia
Cuando se instala un sistema de videovigilancia, muchas empresas y profesionales piensan antes en la cámara que en las reglas. Y ahí suele empezar el problema. La AEPD recuerda en una resolución reciente que instalar un sistema de cámaras no consiste solo en colocarlas y grabar, sino en cumplir una cadena completa de obligaciones que buscan proteger la seguridad sin invadir la privacidad de las personas.
1. La primera obligación es tener una finalidad legítima: la videovigilancia puede utilizarse para preservar la seguridad de las personas, de los bienes o de las instalaciones. Además, se ha de comprobar que esta finalidad no pueda alcanzarse de una forma menos intrusiva, porque no todo lo que resulta útil justifica grabar.
2. La segunda consiste en no reutilizar las imágenes para fines distintos e incompatibles con el motivo por el que se instalaron las cámaras. Grabar por seguridad no autoriza después a usar esas imágenes para cualquier otra cosa.
3. La tercera obligación es informar correctamente. No basta con grabar: hay que cumplir con los artículos 12 y 13 del RGPD y con el artículo 22 de la LOPDGDD. Eso exige, como mínimo, un distintivo visible que avise de la existencia del tratamiento, identifique al responsable y explique cómo obtener más información sobre los derechos de los interesados y el tratamiento.
4. La cuarta obligación es que el tratamiento sea lícito y respete los principios de proporcionalidad y minimización. Dicho de forma sencilla: la cámara debe captar solo lo necesario, del modo menos invasivo posible.
5. La quinta obligación afecta al tiempo de conservación: las imágenes no pueden guardarse indefinidamente y, con carácter general, el plazo máximo es de un mes. Solo si sirven para acreditar hechos que afecten a personas, bienes o instalaciones podrán conservarse para ponerlas a disposición de la autoridad competente. En estos casos deberán ser puestas a disposición de la autoridad competente en un plazo máximo de 72 horas desde que se tuviera conocimiento de la existencia de estos hechos.
6. La sexta obligación es documental: el responsable debe llevar un registro de actividades del tratamiento conforme al artículo 30 del RGPD.
7. La séptima obliga a analizar los riesgos del sistema y, cuando proceda, realizar una evaluación de impacto para detectar problemas y adoptar medidas de seguridad adecuadas.
8. La octava recuerda que, si se produce una brecha de seguridad con riesgo para los derechos y libertades de las personas, habrá que notificarla a la AEPD en un máximo de 72 horas.
9. La novena obligación solo afecta cuando el sistema esté conectado a una central de alarmas, su instalación solo podrá realizarla una empresa de seguridad privada habilitada.
10. Por último, la décima es tener claro que la videovigilancia no es un espacio sin reglas. Es una herramienta legítima, sí, pero solo cuando se usa con necesidad, transparencia y límites. Porque una cámara mal planteada no refuerza la seguridad jurídica de una empresa: la debilita.