Infracciones del RGPD en videovigilancia: qué ocurre cuando hay errores
La videovigilancia forma parte del estándar de los conceptos de seguridad modernos. Las empresas protegen así edificios, instalaciones de producción, almacenes o superficies de venta frente al robo, el vandalismo y el sabotaje. Sin embargo, la presión regulatoria crece: los operadores deben asegurarse de que su vigilancia por cámara cumple los requisitos del Reglamento General de Protección de Datos (RGPD) y de la ley federal alemana de protección de datos (BDSG). Los errores en la planificación, la instalación o la explotación no solo pueden generar reclamaciones y daños de imagen, sino también acarrear multas considerables.
Precisamente en la vigilancia por cámara en Alemania surge con frecuencia una tensión entre el interés de seguridad y los derechos de la personalidad. Toda grabación de vídeo de datos personales interfiere potencialmente en los derechos de los afectados.
Bases jurídicas: ¿cuándo está permitida la videovigilancia?
En el derecho de protección de datos rige, en principio, la «prohibición con reserva de autorización». El tratamiento de datos personales está prohibido de partida mientras no exista una base legal. En cuanto las personas son identificables en las grabaciones, por ejemplo por el rostro, la ropa o la matrícula del vehículo, se trata de datos personales.
En la práctica, los operadores basan su videovigilancia normalmente en:
- El art. 6, apdo. 1, letra f del RGPD («interés legítimo»)
- El § 4 de la BDSG en espacios de acceso público
- En casos concretos, en consentimientos conforme al art. 6, apdo. 1, letra a del RGPD
La base más importante para los operadores comerciales es el art. 6, apdo. 1, letra f del RGPD. Según él, el tratamiento es lícito cuando resulta necesario para salvaguardar intereses legítimos y no prevalecen intereses de las personas afectadas.
Intereses legítimos habituales
- Protección frente a robo con fuerza y hurto
- Ejercicio del derecho de propiedad sobre el inmueble
- Protección de los empleados
- Aseguramiento de pruebas ante delitos
- Protección de infraestructuras críticas
Obligaciones del operador: qué hay que tener en cuenta
Los operadores no solo deben acreditar una base jurídica lícita, sino cumplir también amplias obligaciones de información, documentación y protección. Muchas infracciones del RGPD no se producen por la cámara en sí, sino por falta de transparencia o por procesos organizativos deficientes.
Obligaciones de transparencia conforme a los art. 12 y 13 del RGPD
Los afectados deben poder saber, antes incluso de entrar en la zona vigilada, que existe videovigilancia. Entre la información obligatoria figuran en particular:
- Responsable: nombre y datos de contacto de la empresa
- Finalidad de la vigilancia: indicación concreta como «prevención de hurtos» o «protección frente al vandalismo»
- Base jurídica: normalmente el art. 6, apdo. 1, letra f del RGPD o el § 4 de la BDSG
- Plazo de conservación: por ejemplo «conservación durante 72 horas» o «borrado automático a los tres días»
- Derechos de los afectados: derecho de acceso, de supresión y de oposición
Carteles informativos: datos obligatorios para los operadores
El clásico cartel de cámara sigue siendo un elemento central de una videovigilancia conforme al RGPD. Debe colocarse de modo que las personas reconozcan la vigilancia antes de entrar en la zona vigilada.
Los datos obligatorios habituales en un cartel informativo conforme al RGPD son:
- Un símbolo de cámara claramente reconocible
- Nombre del responsable
- Finalidad concreta de la vigilancia
- Datos de contacto
- Referencia a la información detallada sobre protección de datos
Muchas empresas recurren además a códigos QR o URL cortas a través de las cuales los afectados pueden consultar la información completa sobre protección de datos.
Plazos de conservación y requisitos técnicos
El RGPD establece en su artículo 5, apdo. 1, letra e el principio de limitación del plazo de conservación. Los datos personales solo pueden conservarse durante el tiempo necesario para la finalidad correspondiente. En la práctica, los plazos de conservación de 48 a 72 horas se consideran a menudo un valor orientativo. No existe, sin embargo, un plazo legal rígido.
Los plazos de conservación más largos deben justificarse de forma comprensible, por ejemplo por regímenes de fin de semana, festivos o riesgos de seguridad particulares. Es importante contar con una rutina de borrado documentada, con sobrescrituras automáticas o conceptos de borrado fijos.
¿Dónde pueden instalarse cámaras?
No toda zona puede vigilarse. La videovigilancia es habitualmente ilícita en aseos, vestuarios, salas de descanso o zonas de dormitorio y reposo. Aquí prevalecen casi siempre los derechos de la personalidad de los afectados.
En zonas de entrada, aparcamientos o superficies de venta, la videovigilancia es en principio posible siempre que sea necesaria y se realice de forma transparente. Las cámaras solo pueden captar la zona realmente necesaria.
Particularidades de las cámaras corporales
Las cámaras corporales se utilizan cada vez más en distintos ámbitos. Deutsche Bahn emplea cámaras corporales en el personal de acompañamiento de trenes y en el personal de seguridad para proteger a los empleados en situaciones de conflicto. Las cámaras se activan por regla general solo cuando hay un motivo concreto.
También en el ámbito sanitario se están probando: el hospital Klinikum Dortmund, por ejemplo, prueba su uso en urgencias para proteger a los empleados frente a agresiones. Su uso es voluntario y solo se activa en situaciones de conflicto concretas, no durante los tratamientos ni las conversaciones confidenciales.
Jurídicamente, su uso por parte de servicios de seguridad privados y en muchos ámbitos civiles se rige por lo dispuesto en el RGPD y la BDSG. Como base jurídica suele considerarse el art. 6, apdo. 1, letra f del RGPD (interés legítimo), sujeto no obstante a estrictos requisitos de proporcionalidad, limitación de la finalidad y transparencia.
Consejos prácticos para una aplicación conforme al RGPD
Para una videovigilancia jurídicamente segura, los operadores deberían seguir estos pasos:
- Documentar la ponderación de intereses: ¿es la vigilancia realmente necesaria? ¿Hay medios menos intrusivos?
- Modelo informativo en dos niveles: cartel compacto in situ e información detallada sobre protección de datos mediante código QR
- Rutinas de borrado automáticas: implantar conceptos de borrado fijos
- Usar funciones de privacidad: emplear el enmascaramiento de privacidad o funciones de difuminado
- Llevar la documentación: mantener el registro de actividades de tratamiento
Perspectivas: requisitos de cumplimiento crecientes
La presión regulatoria sobre los operadores de videovigilancia crece de forma continua. Las autoridades de protección de datos vigilan cada vez más si los procesos se han documentado de forma comprensible. En determinados casos es necesaria una evaluación de impacto relativa a la protección de datos (EIPD), en especial ante una vigilancia extensa de zonas de acceso público o el uso de videoanálisis inteligente.
Las empresas deberían por ello recabar asesoramiento jurídico cuanto antes y revisar periódicamente la conformidad de sus conceptos de videovigilancia con el RGPD. Una planificación cuidadosa evita costosas adaptaciones posteriores y multas.
