El Comité Europeo de Protección de Datos (CEPD) lanzó una consulta pública, el pasado 12 de julio, acerca de su Guía 3/2019 sobre el tratamiento de datos personales a través de dispositivos de video (Guidelines 3/2019 on processing of personal data through video devices) [en adelante, la “Guía 3/2019”]. Estas guías suelen ser de gran interés en la medida en que informan a las autoridades de control locales de protección de datos de los Estados Miembros sobre cómo interpretar la norma y sirven de baremo y estándar en la UE.

Sin embargo, en el caso de España y en relación con la Agencia Española de Protección de Datos (AEPD), no hay que olvidar que en los últimos meses se han publicado guías, resoluciones y modelos a este respecto; y que la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDYGDD) prevé una regulación específica sobre el mismo (véase nuestro post original “Básicos de Videovigilancia”).

A modo de resumen, a continuación destacamos los principales puntos de la Guía 3/2019:

  • Ámbito de aplicación: la Guía 3/2019 comienza señalando los supuestos que quedan fuera de su ámbito, ya sea porque capten información no relativa a personas identificadas o identificables (e.g., cámaras falsas, cámaras a gran altitud o que asisten en el aparcamiento de coches –cuando han sido debidamente ajustadas para evitar captar datos personales–); porque se someten a la Directiva (UE) 2016/680; o porque caen en la excepción del ámbito personal o doméstico (se aconseja cautela en este aspecto y ver los ejemplos que incluye la propia Guía 3/2019).
  • Bases legales: la Guía 3/2019 se centra en el interés legítimo (art. 6.1(f) RGPD) –y lo analiza en detalle– como la principal base legitimadora a la que las empresas privadas pueden recurrir. También analiza brevemente el supuesto de cuando “el tratamiento es necesario para el cumplimiento de una misión realizada en interés público” (ex. art. 6.1(e) RGPD) y el consentimiento (ex. art. 6.1(a) RGPD), con carácter excepcional.
    Cuando el tratamiento se basa en el interés legítimo, la Guía 3/2019 recuerda la importancia de realizar (y documentar) un juicio de ponderación, caso-a-caso, y siempre teniendo en cuenta la expectativa razonable de privacidad de los interesados.
  • Comunicaciones a terceros de las grabaciones: en este punto se analizan supuestos en los que la comunicación a terceros puede estar legitimada bien en otras bases legales o bien por ser un tratamiento ulterior compatible (ex. art. 6.4 RGPD).
  • Tratamiento de datos sensibles (categorías especiales de datos): la Guía 3/2019 incluye ejemplos donde a través de las grabaciones se pueden captar datos incluidos en las categorías especiales (e.g. en el supuesto de que se grabe una huelga, manifestación, a pacientes, etc.). La Guía 3/2019 recuerda la necesidad de contar, además de con una base legal para el tratamiento, con una de las excepciones del art. 9 RGPD.
    Especialmente interesante es el análisis que realiza el CEPD sobre el tratamiento de datos biométricos y cómo recuerda que no toda grabación conlleva el tratamiento de este tipo de datos, “dirigidos a identificar de manera unívoca a una persona física” y sujetos al art. 9 RGPD. Para que un dato se considere biométrico debe resultar de “un tratamiento técnico específico, relativo a las características físicas, fisiológicas o conductuales de una persona física” (ex. art. 4(14) RGPD).
    Los siguientes 3 criterios se deben valorar para considerar que un dato (como la imagen) se considera un dato biométrico: (i) la naturaleza del dato (es decir, características físicas, fisiológicas o conductuales), (ii) los medios y forma del tratamiento (esto es, un tratamiento técnico específico), y (iii) la finalidad del tratamiento (i.e., la de identificar de manera unívoca a una persona).
  • Los derechos de los interesados: en este punto la Guía 3/2019 analiza las peculiaridades y los riesgos del ejercicio de derechos de acceso, supresión y oposición al tratamiento consistente en la grabación.
  • Transparencia y deberes de información: la Guía 3/2019 recuerda la importancia de la información por capas, incluyendo un modelo de cartel de aviso de videovigilancia que debe estar colocado a una distancia razonable de la zona vigilada y que debe incluir la información básica, así como cualquier información que pudiera resultar inesperada para los interesados (por ejemplo, que las imágenes pudieran ser cedidas a terceros). Además, hace hincapié en la manera de poner a disposición de los interesados una segunda capa con la información completa.
  • Retención: si bien no se indica un plazo fijo, el CEPD sí enfatiza en que el plazo debe ser corto (días) a riesgo de que se pueda cuestionar, en caso de un plazo superior, la legitimidad del tratamiento.
  • Medidas técnicas y organizativas: la Guía 3/2019 hace un extenso análisis y prevé varias recomendaciones acerca de las medidas técnicas y organizativas a tomar en este ámbito.
  • Evaluación de impacto relativa a la protección de datos: si bien se resalta que es muy probable que la videovigilancia requiera de una evaluación de impacto, la Guía 3/2019 remite al lector a sus directrices a este respecto y a las listas de las autoridades de control locales.

Cualquier interesado puede presentar comentarios hasta el 9 de septiembre de 2019 siguiendo las instrucciones del CEPD.