Videovigilancia en el lugar de trabajo y RGPD: definición
La videovigilancia en el lugar de trabajo y el RGPD conforman un conjunto de normas jurídicas y organizativas que determinan cuándo el empleador puede registrar la imagen de los trabajadores y de otras personas que se encuentren en las instalaciones de la empresa, durante cuánto tiempo puede conservar las grabaciones y de qué manera debe limitar el alcance del tratamiento de datos personales. En la práctica, se trata sobre todo de la videovigilancia basada en cámaras CCTV y, en el contexto de fotografías y vídeos, de la captación, revisión, protección y, en algunos casos, anonimización de la imagen de forma lícita.
En Polonia, la base jurídica nacional es el artículo 222 del Código de Trabajo, añadido por la Ley de 10 de mayo de 2018 sobre protección de datos personales. Esta disposición permite la videovigilancia cuando sea necesaria para garantizar la seguridad de los empleados, la protección de bienes, el control de la producción o la preservación de información confidencial cuya divulgación pudiera causar un perjuicio al empleador. Paralelamente, se aplica el RGPD, en particular los artículos 5, 6, 13, 24, 25, 32 y 35 del Reglamento (UE) 2016/679. También son relevantes las Directrices 3/2019 del Comité Europeo de Protección de Datos sobre el tratamiento de datos personales mediante dispositivos de vídeo, adoptadas el 29 de enero de 2020.
La imagen captada por una cámara es un dato personal si permite identificar a una persona directa o indirectamente. Por ello, la videovigilancia laboral no puede implantarse únicamente sobre la base de una decisión general del empleador. Se requiere una base jurídica concreta, una evaluación de necesidad y proporcionalidad, el cumplimiento del deber de información y la limitación del plazo de conservación de las grabaciones. En materiales fotográficos y de vídeo publicados, compartidos con terceros o utilizados para analizar incidentes, suele ser pertinente difuminar los rostros y, en ocasiones, también las matrículas.
Base jurídica de la videovigilancia de los trabajadores
En el entorno laboral, el consentimiento del trabajador no suele ser la base preferente para legitimar la videovigilancia. Esto se debe al desequilibrio entre las partes de la relación laboral y a la dificultad de considerar ese consentimiento como verdaderamente libre. En la práctica, la base suele ser una obligación legal o el interés legítimo del responsable del tratamiento, aunque en Polonia, para la videovigilancia de empleados, el Código de Trabajo tiene una importancia clave.
Las principales condiciones para aplicar la videovigilancia incluyen:
- definir la finalidad de la videovigilancia antes de poner en marcha el sistema,
- demostrar que la videovigilancia es necesaria y no solo conveniente,
- describir las normas de videovigilancia en el convenio colectivo, el reglamento interno de trabajo o una comunicación oficial, de conformidad con el artículo 222, apartado 6, del Código de Trabajo,
- informar a los trabajadores a más tardar 2 semanas antes de la puesta en marcha de la videovigilancia,
- señalizar las dependencias y la zona videovigilada de forma visible y legible, a más tardar 1 día antes de activar el sistema,
- no utilizar cámaras en espacios cuyo control pudiera vulnerar la dignidad y otros derechos de la personalidad del trabajador, salvo que la ley permita expresamente una excepción y se cumplan requisitos adicionales.
De conformidad con el artículo 222, apartado 2, del Código de Trabajo, la videovigilancia no abarca, por regla general, los aseos, vestuarios, comedores y zonas para fumadores. Solo cabe una excepción si resulta indispensable para alcanzar la finalidad perseguida y no vulnera la dignidad ni otros derechos personales del trabajador, y además se aplican técnicas que impidan identificar a las personas, por ejemplo, un encuadre adecuado o la anonimización de la imagen.
Información a los trabajadores y transparencia del tratamiento
El RGPD exige transparencia. La persona sometida a videovigilancia debe saber quién trata sus datos, con qué finalidad, sobre qué base jurídica y durante cuánto tiempo. Un simple pictograma de cámara no es suficiente. Se necesita información por capas: una versión resumida a la entrada de la zona videovigilada y una versión completa en la cláusula informativa.
En la práctica, la cláusula debe incluir como mínimo:
- los datos del responsable del tratamiento y los datos de contacto del delegado de protección de datos, si ha sido designado,
- las finalidades de la videovigilancia,
- la base jurídica,
- el plazo de conservación de las grabaciones,
- las categorías de destinatarios de los datos,
- información sobre los derechos de las personas interesadas,
- información sobre si las grabaciones pueden comunicarse a autoridades públicas o tribunales.
Plazo de conservación de las grabaciones y cumplimiento del RGPD
El plazo de conservación de las grabaciones no puede fijarse arbitrariamente. El Código de Trabajo establece la regla de que el empleador trata las grabaciones de imagen exclusivamente para los fines para los que fueron recabadas y las conserva durante un período no superior a 3 meses desde la fecha de grabación. Si la grabación constituye prueba en un procedimiento instruido conforme a la ley, o si el empleador tiene conocimiento de que puede constituir tal prueba, este plazo se amplía hasta la finalización firme del procedimiento.
Esto significa que la conservación debe configurarse como un parámetro técnico del sistema. Para garantizar el cumplimiento, son importantes los siguientes elementos:
Parámetro | Importancia para el compliance | Práctica habitual
|
|---|---|---|
Retention period | Aplica el principio de limitación del plazo de conservación del artículo 5, apartado 1, letra e), del RGPD | Eliminación automática a los 3 meses o antes |
Access control | Limita el acceso a las grabaciones únicamente a personas autorizadas | Roles, cuentas nominales y autenticación multifactor |
Auditability | Permite demostrar la responsabilidad proactiva | Registro de cesiones y de operaciones administrativas |
Export policy | Restringe la copia no controlada del material | Exportación solo en caso de incidente y con justificación |
Anonimización de fotos y grabaciones de videovigilancia
En el contexto de la videovigilancia en el lugar de trabajo, la anonimización de vídeos y fotografías no sustituye la base jurídica necesaria para la propia grabación. Sin embargo, sí es una medida importante de minimización de datos en usos posteriores del material, por ejemplo, al facilitar una grabación a un representante legal, una aseguradora, un auditor o al utilizarla con fines formativos. En esos casos, debe limitarse la posibilidad de identificar a las personas que no sean necesarias para la finalidad perseguida.
Técnicamente, el difuminado de rostros suele basarse en la detección de objetos y su seguimiento entre fotogramas. En los sistemas modernos se utilizan modelos de deep learning entrenados con grandes conjuntos de datos de imágenes para lograr una alta sensibilidad en la detección de rostros en distintas condiciones de iluminación, escala y ángulo de la cabeza. El modelo de IA no es un fin en sí mismo. Es un componente necesario para detectar automáticamente rostros o matrículas, que posteriormente se difuminan. La eficacia de este proceso suele evaluarse mediante la precisión de detección, el recall y el número de objetos omitidos en el material.
En la práctica, las herramientas de anonimización pueden difuminar automáticamente rostros y matrículas, pero no siempre detectan logotipos, tatuajes, acreditaciones, documentos ni contenidos mostrados en monitores. Estos elementos pueden requerir ocultación manual en un editor. Esto es relevante desde la perspectiva de la EIPD y del análisis de riesgos, ya que el responsable del tratamiento debe saber qué categorías de datos están cubiertas por la automatización y cuáles no.
Evaluación de riesgos y EIPD para la videovigilancia
La videovigilancia de trabajadores puede requerir una evaluación de impacto relativa a la protección de datos si puede entrañar un alto riesgo para los derechos y libertades de las personas físicas. Así lo establece el artículo 35 del RGPD. Esto afecta especialmente a la supervisión sistemática a gran escala que incluye lugares de trabajo, zonas de acceso y áreas de tránsito.
En una EIPD conviene evaluar:
- el alcance del campo de visión de las cámaras y el riesgo de observación excesiva,
- si es posible limitar el área mediante encuadre o máscaras de privacidad,
- la conservación y el procedimiento de eliminación de grabaciones,
- los procedimientos de exportación y anonimización del material,
- el riesgo de errores en la detección de rostros o matrículas, si se utiliza difuminado automático,
- las medidas técnicas de seguridad conformes con el artículo 32 del RGPD.
Referencias normativas y divergencias prácticas
Las fuentes más importantes sobre esta materia son: el Reglamento (UE) 2016/679, el Código de Trabajo —artículos 222 y 223—, las Directrices 3/2019 del CEPD sobre dispositivos de vídeo y las aclaraciones nacionales de la UODO. En caso de publicación o posterior difusión de imágenes extraídas de la videovigilancia, también puede ser relevante la protección de la imagen derivada del Código Civil y de la Ley de derechos de autor y derechos afines.
En relación con las matrículas, existen divergencias interpretativas. En Polonia, la jurisprudencia ha señalado que una matrícula no siempre constituye por sí sola un dato personal. En cambio, el enfoque de las autoridades de protección de datos y la práctica en muchos países de Europa occidental es más prudente y considera el número de matrícula como información que permite una identificación indirecta. Por ello, al compartir grabaciones fuera del círculo estricto de destinatarios autorizados, resulta aconsejable valorar el difuminado de las matrículas.