Cuando y a quien entregar imágenes de videovigilancia
Cuando y a quien entregar imágenes de videovigilancia
La Agencia Española de Protección de Datos (AEPD) ha vuelto a poner el foco sobre una cuestión cada vez más habitual: las solicitudes de acceso a imágenes de videovigilancia.
Una reciente resolución de la AEPD, ampliamente difundida en medios especializados, sanciona a un Responsable del tratamiento por denegar el acceso a las imágenes y eliminar la grabación pese a que el afectado había solicitado expresamente su conservación para ejercer una reclamación.
Esta resolución resulta especialmente relevante para empresas que disponen de sistemas de videovigilancia en aparcamientos privados, centros logísticos, fábricas o instalaciones donde estacionan vehículos de trabajadores, clientes o proveedores.
El caso
Un cliente solicitó a la empresa propietaria de un parking, las imágenes de las cámaras de seguridad tras comprobar que su vehículo había sido dañado mientras permanecía estacionado.
El Responsable del tratamiento respondió exigiendo la presentación de una denuncia policial antes de facilitar cualquier información y, posteriormente, eliminó las imágenes pese
a que el interesado había solicitado su conservación.
La AEPD consideró que dicha actuación vulneraba:
- El derecho de acceso del artículo 15 del RGPD.
- El derecho a la limitación del tratamiento, al eliminar unas imágenes cuya conservación había sido solicitada para el ejercicio de acciones legales.
¿Está obligada la empresa a entregar las grabaciones?
La respuesta no es tan sencilla como un «sí» o un «no».
El RGPD reconoce el derecho del interesado a obtener una copia de sus datos personales. Sin embargo, el propio artículo 15.4 establece que ese derecho no puede afectar negativamente a los derechos y libertades de otras personas.
En un aparcamiento es habitual que las grabaciones incluyan:
- otros trabajadores;
- clientes;
- proveedores;
- matrículas de numerosos vehículos;
- personas ajenas al incidente.
Por tanto, el Responsable del tratamiento debe realizar una ponderación entre el derecho de acceso del solicitante y la protección de los datos personales de terceros.
Lo que la resolución de la AEPD deja claro es que no es admisible denegar automáticamente el acceso, exigir requisitos no previstos en el RGPD (como la presentación de una denuncia previa) ni eliminar las imágenes cuando existe una solicitud de conservación relacionada con una posible reclamación.
¿Cuál es la actuación más prudente?
Desde nuestro punto de vista, la actuación más equilibrada consiste en seguir los siguientes pasos:
Conservar inmediatamente las imágenes
Si el afectado comunica el incidente y solicita el acceso o la conservación de las imágenes, la empresa debe impedir que sean eliminadas por el sistema de borrado automático mientras la solicitud se tramita.
Asimismo, deberán permanecer bloqueadas para impedir que las imágenes sean utilizadas para una finalidad distinta que para el motivo de su conservación por más tiempo del necesario.
Revisar internamente la grabación
La empresa debe comprobar si efectivamente existe el incidente y si es posible identificar al vehículo responsable.
Facilitar la información necesaria
Si del visionado resulta claramente identificado el vehículo que ocasionó el daño, una opción especialmente prudente consiste en facilitar al solicitante un documento en el que se indique, por ejemplo:
- fecha del incidente;
- hora;
- ubicación;
- matrícula del vehículo implicado.
De esta forma el afectado dispone de la información necesaria para ejercitar una reclamación ante su aseguradora.
Informar de la conservación de las imágenes
La empresa debería comunicar expresamente que las imágenes quedarán conservadas y bloqueadas para su utilización como prueba y que serán puestas a disposición de la autoridad judicial, de las Fuerzas y Cuerpos de Seguridad o de cualquier autoridad competente cuando sean requeridas.
Recordemos que legalmente solo se pueden conservar por un (1) mes salvo que como en el caso analizado, sea necesario conservarlas por más tiempo.
¿Es obligatorio entregar una copia de la grabación?
Aquí es donde la cuestión presenta mayor complejidad jurídica.
El artículo 15.3 del RGPD reconoce el derecho a obtener una copia de los datos personales objeto de tratamiento.
No obstante, cuando la grabación contiene datos personales de numerosos terceros, la empresa debe valorar si resulta posible anonimizar las imágenes o si esa anonimización resulta técnicamente inviable o desproporcionada.
En estos supuestos, la protección de los derechos de terceros puede justificar que el acceso se materialice mediante el suministro de la información obtenida del tratamiento, en lugar de entregar directamente la grabación íntegra.
Ahora bien, esta decisión debe estar debidamente motivada y documentada. Una negativa genérica basada únicamente en la existencia de terceros difícilmente superará el criterio de la AEPD.
Qué no debe hacer una empresa
A la vista del criterio de la AEPD, conviene evitar actuaciones como:
- exigir una denuncia policial para tramitar el derecho de acceso;
- ignorar la solicitud o responder fuera del plazo legal de un mes;
- eliminar las imágenes cuando el interesado ha solicitado su conservación para ejercer una reclamación;
- denegar el acceso sin realizar una valoración individualizada del caso.
Solicitud de imágenes realizadas por la Policía
Cuando la Policía Nacional, la Guardia Civil u otro cuerpo policial solicita grabaciones, el Responsable del tratamiento podrá entregarlas sin el consentimiento de las personas que figuran en las imágenes, pero antes de facilitarlas, el responsable debe solicitar y conservar el requerimiento (preferiblemente escrito) y entregar únicamente las secuencias necesarias, evitando una comunicación indiscriminada.
La copia deberá transmitirse mediante un medio seguro y quedar registrada, documentando quién la solicitó y recibió, las imágenes entregadas, la fecha, la finalidad y la base jurídica de la comunicación.
Si las imágenes muestran hechos que puedan afectar a la integridad de personas, bienes o instalaciones, el responsable debe preservarlas y ponerlas a disposición de la autoridad competente en un plazo máximo de 72 horas desde que conozca la existencia de la grabación, de acuerdo con el artículo 22.3 de la LOPDGDD. Esas imágenes no deben utilizarse para otros fines y permanecerán restringidas durante el tiempo necesario para la investigación. Muy útil para todo esto la Guía de videovigilancia de la AEPD
Recomendación de Business Adapter®
En cualquier caso, recomendamos poner en conocimiento del Delegado de Protección de Datos (DPD) de su empresa o Consultor contratado en materia de protección de datos, las solicitudes de acceso a imágenes de videovigilancia para una valoración técnico-jurídica de los derechos de terceros y elaboración de la documentación de la decisión adoptada.
Una gestión adecuada evita sanciones y proporciona seguridad jurídica tanto a la empresa como a los afectados.