INSTRUCCIÓN 1/2.006 DE LA AGENCIA ESPAÑOLA DE PROTECCIÓN DE DATOS SOBRE VIDEOVIGILANCIA
1. Carencia de regulación específica de la videovigilancia en la seguridad privada
La única disposición que hasta ahora ha regulado la vigilancia ha sido la Ley Orgánica 4/1.997, de 4 de agosto, por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos. Eso sí, ceñida a su utilización para proteger la seguridad ciudadana en lugares públicos por los agentes citados. En su Disposición Adicional Novena, afirma que “el Gobierno elaborará, en el plazo de un año, la normativa correspondiente para adaptar los principios inspiradores de la presente ley al ámbito de la seguridad privada”.
Sin embargo, no ha ocurrido así. La videovigilancia en la seguridad privada no tiene regulación expresa, excepción hecha de determinados establecimientos mencionados en el Reglamento de Seguridad Privada (R.D. 2.364/1.994, de 9 de diciembre), como las empresas de depósito y las entidades de crédito.
No es que el ciudadano quede desprotegido, puesto que es de aplicación el ordenamiento jurídico referente a la protección de los derechos al honor, a la intimidad personal y familiar y a la propia imagen. Y cómo no, Ley Orgánica 15/1.999, de 13 de diciembre, de protección de datos de carácter personal.
2. La imagen como dato personal
La LOPD define dato personal como cualquier información concerniente a personas físicas identificadas o identificables (art. 3.a), y el Real Decreto 1.332/1.994, aún en vigor, especifica que lo es toda información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, susceptible de recogida, registro, tratamiento, o transmisión, concerniente a una persona física identificada o identificable (art. 1.4).
Para concretar aún más esa definición podemos acudir al Grupo 29 de protección de datos de la Unión Europea, que tanto el Documento de Trabajo adoptado el 25 de noviembre de 2002, como en el Dictamen 4/2.004, de 11 de febrero, ambos relativos al tratamiento de datos personales mediante vigilancia por videocámara, aclara que las imágenes de una persona son datos personales:
“Los datos relativos a personas físicas identificadas o identificables, constituidos por la imagen y sonido, son datos personales:
a) incluso si las imágenes se utilizan en el marco de un sistema de circuito cerrado y aunque no estén asociadas a los datos personales del interesado;
b) incluso si no se refieren a personas cuyos rostros hayan sido filmados, aunque contengan otra información, como, por ejemplo, números de matrícula o números de identificación personal (PIN) captados durante la vigilancia de cajeros automáticos;
c) independientemente del método utilizado para el tratamiento, la técnica, el tipo de equipo, las características de la captación de imágenes y las herramientas de comunicación utilizadas;”
Ya en el año 2001 la Agencia Española de Protección de Datos (AEPD) tuvo ocasión de pronunciarse sobre el asunto, con motivo de una consulta sobre si la instalación de cámaras en el lugar de trabajo resultaba conforme a la LOPD. La conclusión fue rotunda: las imágenes tomadas serían datos personales si permitían la identificación de las personas que aparecían en ellas y se incluían en un fichero, estando entonces sujetas a lo dispuesto en la ley.
3. La Instrucción 1/2.006 de la AEPD sobre videovigilancia
La Agencia Española de Protección de Datos, mediante la Instrucción 1/2.006, de 8 de noviembre, (B.O.E. nº 296, de 12 de diciembre), ha regulado el tratamiento de datos personales con fines de videovigilancia a través de cámaras o videocámaras.
El objeto de esta instrucción es garantizar los derechos de las personas cuyas imágenes son tratadas por medio de la videovigilancia, adecuando estos tratamientos a los principios de la LOPD.
Veamos qué dispone esta instrucción.
A) Ámbito objetivo:
Queda incluida la grabación, captación, transmisión, conservación y almacenamiento de imágenes, reproducción o emisión en tiempo real, y cualquier otro tratamiento que resulte de los datos personales relacionados con ellas. Siguiendo a la LOPD, quedan excluidos los datos personales grabados para uso o finalidad doméstica.
B) Legitimación:
Como para cualquier otro tratamiento de datos personales es necesario el consentimiento inequívoco de los interesados, con las excepciones legales generales que corresponden (art. 6.1 y 6.2 LOPD en general; arts. 11.1 y 11.2 LOPD para las cesiones de datos). No resulta ninguna novedad.
Este consentimiento ha de ser no sólo inequívoco, sino también plenamente informado. Y el modo en el que la agencia dispone que el responsable del tratamiento está obligado a informar no es el más preciso, como veremos a continuación.
C) Información. Distintivo específico de zona videovigilada:
Ha de colocarse un distintivo en las zonas videovigiladas cuyo modelo ha sido aprobado en la instrucción, en un lugar suficientemente visible, tanto en espacios abiertos como cerrados, y tener la información que exige el art. 5 LOPD en impresos a disposición de los interesados.
El distintivo de “Zona videovigilada” no estuvo disponible de modo inmediato en la web de la AEPD, tal y como se anunciaba, ni se daban sus características técnicas en el B.O.E.
Es criticable que se exija su colocación en las zonas videovigiladas (sic), ya que si se quiere respetar lo que dispone el art. 5 LOPD, referente al derecho de información en la recogida de datos, esta información ha de ser previa.
¿Dónde entonces hay que colocar el distintivo? Porque si se coloca en las zonas videovigiladas, el interesado ya ha sido grabado cuando puede visualizar la información y no ha tenido posibilidad de evitarlo, viéndose coartado en sus derechos. Confirma esta interpretación el Documento de Trabajo del Grupo 29 citado, que afirma que “la información deberá colocarse a una distancia razonable de los lugares controlados”.
D) Principios de calidad, proporcionalidad y finalidad del tratamiento
El principio de calidad es el general de la LOPD: las imágenes sólo serán tratadas si son adecuadas, pertinentes y no excesivas en relación con el ámbito y las finalidades determinadas, legítimas y explícitas que hayan justificado la instalación de las cámaras o videocámaras. Es decir, se tratarán las imágenes sólo para cumplir con la finalidad de vigilancia.
Lo que resulta novedoso es la mención del principio de proporcionalidad: siempre que resulte posible han de utilizarse otros medios menos intrusivos para la intimidad de las personas, y nunca la videovigilancia ha de ser el medio inicial para llevar a cabo las funciones de vigilancia. Sólo si no es posible utilizar otras medidas de prevención, protección y seguridad que no utilicen la captación de imágenes, será proporcional el uso de videocámaras.
No podrán obtenerse imágenes de espacios públicos salvo si es imprescindible para la finalidad de vigilancia o resulte imposible evitarlo por su ubicación. Esto obedece a que las competencias para la seguridad pública son de las Fuerzas y Cuerpos de Seguridad, quienes son los únicos legitimados a establecer vigilancia sobre esos espacios públicos.
E) Derechos de las personas:
Son los mencionados en la LOPD, sólo que para su ejercicio el interesado ha de presentar además una imagen actualizada para facilitar su localización.
F) Cancelación:
La instrucción fija que los datos serán cancelados en el plazo máximo de un mes desde su captación.
G) Notificación de ficheros:
No hay ninguna especialidad respecto de cualquier otro tipo de ficheros, excepto que no se considerará fichero el tratamiento consistente exclusivamente en la reproducción o emisión de imágenes en tiempo real.
H) Seguridad y secreto:
No existe especialidad alguna en la instrucción, salvando una redacción ligeramente diferente a los originales de la LOPD. Hubiera sido más fácil hacer una remisión expresa a lo establecido allí.
3. Conclusión
La entrada en vigor de la Instrucción 1/2.006 no significa un punto de salida para comenzar a cumplir con la LOPD en el sector de la videovigilancia privada, puesto que esos tratamientos ya debían realizarse conforme a sus principios. Provocará un espectacular crecimiento de los ficheros declarados al Registro General de Protección de Datos por parte de las empresas de seguridad, y más de una duda en cuanto a su interpretación que la agencia tendrá que resolver. Lo más significativo quizá sea que la visualización por los ciudadanos de este distintivo amarillo y negro por todas partes tendrá un efecto positivo para que se tome conciencia sobre el derecho a la intimidad.
Es urgente el desarrollo reglamentario anunciado por la Disposición Adicional Novena de la Ley 4/1.997, que ya lleva un retraso e incumplimiento de más de ocho años.
