Artículo 15 del RGPD y vigilancia por vídeo: obligación de compartir las grabaciones

¿Tiene un sistema de vigilancia por vídeo CCTV o toma y almacena grandes cantidades de fotografías? Debe comprender cómo el RGPD garantiza el derecho a acceder a los datos personales bajo demanda. Solíamos pensar en los datos personales como números de identificación personal, fechas de nacimiento, registros médicos y entradas en varios tipos de documentos. Pero lo cierto es que se considera dato personal todo aquello que permita a cualquier persona identificarlos y asociarlos con otro dato. Las imágenes de personas registradas en videos o fotografías no son diferentes. Esto crea algunas implicaciones legales profundas para cualquiera que opere el monitoreo visual o tome, recopile y almacene fotografías.

Las entidades afectadas son todo tipo de operadores de CCTV, entre ellos empresas de seguridad, operadores de ferrocarriles, aparcamientos e instalaciones médicas, entre muchos otros. Asimismo, empresas SIG (Sistemas de Información Geográfica), empresas constructoras e instituciones de investigación recopilan grandes cantidades de fotografías con fines de documentación en sus proyectos. Todos ellos cumplen con el mismo régimen de privacidad y protección de datos personales, como en el caso de los datos no visuales. Y si los datos se recopilan por motivos comerciales y a escala industrial, las obligaciones se vuelven más estrictas, con multas y sanciones posiblemente mucho más altas en caso de infracción. Todos sus sistemas, procesos y medios deben estar implementados para la seguridad, el acceso y el intercambio legal de datos personales.

Derechos del interesado según el artículo 15 del RGPD

El artículo 15 del Reglamento General de Protección de Datos garantiza a todos los interesados el derecho de acceso a la información tratada. Esto significa que no sólo las oficinas autorizadas, los organismos gubernamentales y los organismos encargados de hacer cumplir la ley, como la policía, pueden solicitar fotografías o grabaciones. Cualquier persona que haya sido capturada en fotografía o video puede solicitar una copia del material donde haya sido capturada. Si su organización recopila datos personales de cualquier forma, puede encontrarse con una situación en la que alguien solicite su divulgación. ¿Cuál debería ser tu respuesta?

En primer lugar, cada persona tiene derecho a solicitar al administrador de sus datos personales que confirme si sus datos son objeto de tratamiento. Si este es efectivamente el caso, según lo dispuesto en el RGPD, podrán exigir el acceso al mismo.

“El interesado tendrá derecho a obtener del responsable del tratamiento confirmación de si se están tratando o no datos personales que le conciernen y, en su caso, acceder a los datos personales […]”

Arte. 15 RGPD: Derecho de acceso del interesado

En tal situación, usted, como administrador de datos personales, deberá proporcionarles la siguiente información:

• Finalidades del tratamiento de datos personales
• Categorías de datos procesados
• Destinatarios de los datos (especialmente en terceros países y organizaciones internacionales)
• -Periodo previsto de almacenamiento de datos (o criterios para su determinación)
• Los derechos del interesado (incluida la rectificación, supresión o limitación del tratamiento de datos, pero también la presentación de una reclamación)
• Fuente de los datos personales (a menos que hayan sido recopilados directamente del interesado)
• Información sobre procesos automatizados de toma de decisiones (incluida la elaboración de perfiles)

Sus obligaciones como administrador de datos personales: proporcionar grabaciones y fotografías bajo demanda

Al recibir una solicitud de acceso a datos personales, el administrador deberá proporcionar una copia de los datos al interesado. En nuestro caso, se trata de una sección de la grabación o de las fotografías que contiene la imagen de la persona interesada.

Se puede cobrar una tarifa razonable por cualquier copia posterior en función de los costos administrativos, pero en la práctica esto rara vez sucede. La información generalmente se proporciona electrónicamente a menos que se indique lo contrario en la solicitud.

Es muy común que las organizaciones que procesan datos personales se nieguen a proporcionar copias, argumentando que sólo pueden hacerlo a petición de la policía y otros organismos y agencias autorizados. Esto obviamente no es verdad. Hacer tales afirmaciones puede empeorar mucho la situación para el procesador de datos, quien, por lo tanto, queda expuesto a propósitos aún más severos impuestos por las autoridades nacionales de protección de datos.

El otro motivo de denegación es la afirmación de que en la fotografía o grabación hay otras personas además del interesado. Por supuesto, es fundamental que al proporcionar datos personales procesados, también se respeten los derechos de otras personas a quienes se refiere la información. El derecho a obtener una copia no debe tener ningún resultado adverso sobre los derechos de otras personas. Significa que no puede revelar su identidad si hay otras personas en la grabación o foto.

Este tipo de justificación para negar el derecho de acceso también es infundada porque uno puede fácilmente tomar medidas para proteger la privacidad de personas al azar que aparecen en los materiales. En el pasado, la única manera de hacerlo era desenfocar rostros y matrículas manualmente, lo que requería el software adecuado y personal capacitado. A gran escala, este método resultaría caro e ineficaz. Gracias a los avances tecnológicos, hoy en día se pueden utilizar soluciones como software para la anonimización automática de rostros y matrículas, que están ampliamente disponibles y son rentables.

• Infundada o excesiva manifiesta de la solicitud
• Presentar una solicitud en una forma diferente a la impuesta por la normativa de protección de datos.
• La amenaza actual a los derechos de los demás

En la práctica, es realmente difícil (si no imposible) proporcionar cualquiera de las condiciones mencionadas anteriormente.

¿Cuál es la sanción por incumplimiento?

A medida que prevalecen el monitoreo por video y la recopilación de fotografías a escala industrial, los reguladores también toman conciencia de los desafíos relacionados con la privacidad. Por otro lado, los ciudadanos y consumidores también están más informados sobre sus derechos. Como resultado de las quejas y multas por negarse a proporcionar material a pedido al interesado, algo que hace apenas unos años era una rara excepción, hoy en día son más comunes y la tendencia va en aumento.

A continuación, mencionamos algunas de las multas recientes que muestran la importancia de este tema:

• En 2020, el propietario de una tienda local en Hungría negó haber entregado material de vídeo procedente de cámaras de vigilancia. El organismo nacional de protección de datos decidió que se trataba de una flagrante violación del art. 15 del RGPD y le impuso una multa de 54.800 EUR.
• En 2022, una empresa energética croata que explota gasolineras recibió una multa de 124.000 euros por una infracción similar.
• En Irlanda, el ayuntamiento y el condado de Limerick han sido castigados con una multa de 110.000 euros por varias infracciones y negligencias en el ámbito de la vigilancia por CCTV. La DPA irlandesa se refirió en la decisión, entre otras cosas, al artículo 15 del RGPD. Ese mismo año, la DPA española condenó a Mercadona S.A., una cadena de supermercados, a una multa de 170.000 euros por negar a sus clientes el acceso a las grabaciones de videovigilancia. El interesado sufrió un accidente y solicitó proporcionar grabaciones a pedido.

¿Le gustaría obtener más información sobre las multas recientes por infracción del art. 15 del RGPD en relación con el seguimiento visual? Manténganse al tanto; Pronto publicaremos un artículo separado.

¡Deja tu correo electrónico para ser de los primeros en recibir el informe!