Con la entrada en vigor del nuevo Reglamento General de Protección de Datos, el pasado 25 de mayo de 2018, el sector de la videovigilancia también se ha visto afectado con varios cambios. Resulta necesario tener claro las pautas a seguir en una instalación de CCTV para cumplir con la ley, tanto en su instalación como en el tratamiento posterior de las imágenes.
Esta nueva normativa busca la adaptación al Reglamento (UE) 2016/679 del Parlamento Europeo y de Consejo de 27 de abril de 2016, relativo a la protección de las personas físicas en lo referente al tratamiento de sus datos personales y a la libre circulación de los mismos.
En este artículo vamos a ver cómo ha afectado el Reglamento General de Protección de Datos al ámbito de la videovigilancia.
ADIÓS A LAS NOTIFICACIONES
Desde hace años, cada instalación de CCTV que realizábamos debía ser notificada a la Agencia Española de Protección de Datos. El sistema NOTA, ¿lo recordáis? nos guiaba en la cumplimentación del fichero para su posterior envío a la AEPD.
Con el nuevo Reglamento General de Protección de Datos ya no es necesario dicha notificación, sino que basta con contar con un registro de actividades de tratamiento, de carácter interno. Los requisitos de éste documento se recoge en el artículo 30 del mismo.
ARTÍCULO 30
Cada responsable, o representante, llevarán un registro de las actividades de tratamiento efectuadas bajo su responsabilidad. Este registro contará con la siguiente información:
- Nombre y datos de contacto del responsable, corresponsable, del representante del responsable y del delegado de protección de datos.
- La finalidad del tratamiento de los datos.
- Descripción de las categorías de los interesados y de las categorías de los datos personales, así como las categorías de los destinatarios a quien se comunican los datos personales, incluyendo destinatarios en terceros países y organizaciones internacionales.
- En el caso de trasferencia de datos a un tercer país u organización internacional, se ha de identificar dicho país y/u organización junto con la documentación de garantías adecuadas (recogido en el Artículo 49, apartado 1º, párrafo 2º)
- Los plazos previstos para la supresión de las diferentes categorías de datos, cuando sea posible.
- Descripción de las medidas técnicas y organizativas de seguridad (Artículo 32, apartando 1) cuando sea posible.
Cada encargado o representante de encargado llevará un registro de todas las categorías de actividades de tratamiento realizadas. Este registro contendrá:
- Nombre y datos de contacto del encargado, representante del responsable o encargado y del delegado de protección de datos.
- Las categorías de tratamientos efectuados por cuenta de cada responsable.
- En el caso de trasferencia de datos a un tercer país u organización internacional, se ha de identificar dicho país y/u organización junto con la documentación de garantías adecuadas (recogido en el Artículo 49, apartado 1º, párrafo 2º)
- Descripción de las medidas técnicas y organizativas de seguridad (Artículo 32, apartando 1) cuando sea posible.
Los registros vistos anteriormente deberán constar tanto por escrito como en formato electrónico. Además, los responsable de estos registros están obligados a ponerlos a disposición de la autoridad de control que los reclame.
Lo visto hasta ahora no será de obligado cumplimiento para aquellas entidades que empleen menos de 250 personas, salvo que las imágenes pongan en riesgo sus libertades y derechos o incluya categorías especiales de datos personales.
APLICANDO LA RGPD A LA VIDEOVIGILANCIA
Vamos a resaltar aquellos aspectos del Reglamento General de Protección de Datos aplicables en una instalación de videovigilancia:
- La ubicación de las cámaras: las imágenes captadas por las cámaras deberán respetar las zonas destinadas al descanso de trabajadores y áreas privadas.
- La ubicación de los monitores: los monitores donde se visualicen las imágenes grabadas por las cámaras deben estar ubicados en un espacio de acceso restringido.
- La conservación de las imágenes: el almacenamiento de imágenes, salvo por petición judicial o policial, será de 1 mes.
- El deber de informar: se debe informar de la existencia de cámaras y grabaciones de imágenes mediante el uso de un distintivo informativo. Este elemento se compone de pictograma y texto donde se informa a los interesados cómo puede ejercer sus derechos de acceso y rectificación.
- Control laboral: cuando las cámaras son usadas para llevar el control laboral, establecido por el Estatuto de los Trabajadores, se deberá informar a todos los trabajadores.
- Derecho de acceso a las imágenes: la solicitud se realizará mediante una fotografía el DNI del interesado, así como el detalle de la fecha y hora a la que se refiere el derecho de acceso. No se facilitará el acceso directo a a las imágenes en las que se muestren a terceros. En caso de no poder visualizarse se entregará un documento al interesado en el que se confirme o niegue la existencia de imágenes.
Os dejamos un enlace a una guía que ofrece la AEPD que os ayudará a complementar la información que os hemos facilitado.
