La instalación de cámaras de seguridad permite proteger viviendas, empresas, comercios, comunidades de propietarios y otros espacios frente a robos, daños o accesos no autorizados. Sin embargo, utilizar un sistema de videovigilancia implica tratar imágenes que pueden identificar a personas y, por tanto, cumplir determinadas obligaciones en materia de protección de datos.
Cuando una instalación de cámaras no respeta la normativa aplicable, el responsable puede enfrentarse a distintas consecuencias, entre ellas requerimientos de la autoridad de control, medidas correctivas y sanciones económicas. Las sanciones por incumplir la normativa de videovigilancia dependen de las circunstancias concretas de cada caso, de la gravedad de la infracción y de otros factores establecidos por el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 (LOPDGDD).
La Agencia Española de Protección de Datos (AEPD) es la autoridad de control encargada de supervisar el cumplimiento de la normativa de protección de datos en España en los ámbitos que son de su competencia. La propia Agencia dispone de un apartado específico dedicado a la videovigilancia, con información sobre los requisitos que deben cumplir viviendas, comunidades, establecimientos y otros responsables.
¿Cuándo puede sancionarse un sistema de videovigilancia?
No cumplir correctamente con las obligaciones de protección de datos puede dar lugar a una actuación de la autoridad competente. En materia de videovigilancia, los posibles incumplimientos pueden estar relacionados con diferentes aspectos del tratamiento de las imágenes.
Por ejemplo, puede existir un problema cuando las cámaras captan espacios que no deberían grabarse, cuando no se informa adecuadamente a las personas, cuando las imágenes se conservan durante más tiempo del permitido, cuando no se aplican medidas de seguridad suficientes o cuando las grabaciones se utilizan para una finalidad diferente de aquella que justificó su instalación.
La normativa no establece una única multa automática para todos estos casos. El importe y las medidas que pueden adoptarse deben determinarse atendiendo a las circunstancias de la infracción y a los criterios establecidos en el RGPD y la LOPDGDD.
¿Quién puede ser responsable de la infracción?
La LOPDGDD establece que están sujetos al régimen sancionador, entre otros, los responsables y encargados del tratamiento. Esto significa que la responsabilidad no depende simplemente de quién haya comprado o instalado físicamente una cámara, sino de las funciones que desempeñe cada persona o entidad respecto al tratamiento de las imágenes.
Por ejemplo, una empresa puede ser responsable del tratamiento de las imágenes obtenidas mediante las cámaras de su establecimiento, mientras que una empresa de seguridad contratada para determinadas funciones puede actuar como encargado del tratamiento cuando concurran las condiciones correspondientes.
¿Cuánto pueden ser las multas por videovigilancia?
Las sanciones en materia de protección de datos pueden alcanzar cantidades importantes, especialmente en los supuestos más graves. El artículo 83 del RGPD establece diferentes límites máximos dependiendo del tipo de infracción.
Para determinadas infracciones contempladas en el artículo 83.5 del RGPD, las multas administrativas pueden alcanzar 20 millones de euros o, cuando se trate de una empresa, hasta el 4 % del volumen de negocio total anual global del ejercicio financiero anterior, optándose por la cuantía que resulte mayor dentro de los límites establecidos por la normativa.
Para otras infracciones incluidas en el artículo 83.4 del RGPD, el límite máximo puede alcanzar 10 millones de euros o el 2 % del volumen de negocio total anual global del ejercicio financiero anterior, aplicándose igualmente la regla correspondiente al importe máximo previsto.
Estos son límites máximos establecidos por la legislación y no significan que cualquier incumplimiento de las normas de videovigilancia vaya a recibir automáticamente una multa de millones de euros. La cuantía concreta debe determinarse teniendo en cuenta las circunstancias del caso.
¿Qué factores se tienen en cuenta para determinar una sanción?
La cuantía de una multa no depende únicamente del hecho de que exista un incumplimiento. El RGPD establece distintos criterios que deben tenerse en cuenta para determinar si una sanción es efectiva, proporcionada y disuasoria.
Entre las circunstancias que pueden valorarse se encuentran la naturaleza, gravedad y duración de la infracción, el carácter intencional o negligente de la conducta, las medidas adoptadas para reducir los daños, el grado de responsabilidad del responsable o encargado y las categorías de datos personales afectadas.
También pueden tenerse en cuenta aspectos como la forma en que la autoridad de control tuvo conocimiento de la infracción, la cooperación con la autoridad, las infracciones anteriores y otros factores agravantes o atenuantes.
Por ello, dos incumplimientos aparentemente similares pueden terminar teniendo consecuencias diferentes dependiendo de las circunstancias concretas de cada expediente.
¿Qué incumplimientos de videovigilancia pueden ser sancionables?
Grabar zonas que no son necesarias
Uno de los problemas que puede aparecer en un sistema de cámaras es la captación excesiva de imágenes. Las cámaras deben estar orientadas de manera que se limite la captación a los espacios necesarios para conseguir la finalidad de seguridad.
Por ejemplo, una cámara instalada para proteger la entrada de un establecimiento no debería utilizarse para registrar de forma innecesaria el interior de viviendas vecinas o grandes extensiones de la vía pública. La AEPD dispone de criterios específicos sobre la instalación y utilización de cámaras de videovigilancia.
No informar correctamente a las personas
Las personas que acceden a una zona videovigilada deben recibir la información exigida por la normativa. En los sistemas de videovigilancia, esta información puede facilitarse mediante el sistema de información por capas previsto por la normativa.
La falta de información o el incumplimiento de las obligaciones de transparencia puede constituir una infracción. La LOPDGDD incluye expresamente entre las infracciones leves determinadas vulneraciones del principio de transparencia y del derecho de información de los afectados.
Por eso, colocar un cartel de «zona videovigilada» sin comprobar si contiene la información necesaria no garantiza por sí solo el cumplimiento de la normativa.
Conservar las imágenes durante demasiado tiempo
Otro aspecto importante es el plazo de conservación. Como regla general, las imágenes obtenidas mediante sistemas de videovigilancia deben suprimirse en el plazo máximo de un mes, salvo que exista una excepción que permita conservar determinadas imágenes.
Por ejemplo, cuando una grabación resulte necesaria para acreditar actos que atenten contra la integridad de personas, bienes o instalaciones, puede existir una justificación para conservarla durante más tiempo y ponerla a disposición de la autoridad competente.
Mantener todas las grabaciones indefinidamente simplemente porque existe capacidad suficiente de almacenamiento no es una práctica compatible con el principio de limitación del plazo de conservación.
Permitir accesos no autorizados a las grabaciones
Las imágenes de las cámaras también deben estar protegidas frente a accesos no autorizados. No todas las personas que trabajan en una empresa o viven en una comunidad tienen automáticamente derecho a consultar las grabaciones.
El responsable debe establecer medidas adecuadas para limitar el acceso a las imágenes y protegerlas frente a pérdida, alteración, divulgación o utilización indebida. Una configuración insegura del grabador, contraseñas débiles o la posibilidad de que personas no autorizadas accedan al sistema pueden generar riesgos adicionales.
¿La AEPD puede obligar a modificar o retirar un sistema de cámaras?
Las consecuencias de un procedimiento no se limitan necesariamente a una multa económica. El RGPD atribuye a las autoridades de control diferentes poderes correctivos que pueden utilizarse para conseguir que el tratamiento de datos se ajuste a la normativa.
Entre estas medidas se encuentra la posibilidad de ordenar al responsable que adapte las operaciones de tratamiento a las disposiciones aplicables. En determinadas circunstancias también pueden imponerse limitaciones o suspensiones del tratamiento.
Esto significa que un responsable de un sistema de videovigilancia puede tener que modificar la orientación de las cámaras, adaptar la información proporcionada, limitar el acceso a las imágenes o adoptar otras medidas correctivas para solucionar el incumplimiento detectado.
¿Una cámara doméstica también puede generar problemas?
Las cámaras instaladas en viviendas particulares también deben analizarse teniendo en cuenta su finalidad y el espacio que captan. No todas las cámaras domésticas están necesariamente sometidas de la misma manera a las obligaciones del RGPD, especialmente cuando se utilizan exclusivamente dentro de la esfera personal o doméstica.
Sin embargo, cuando una cámara doméstica comienza a captar espacios ajenos, viviendas de terceros o zonas públicas de manera que exceda el ámbito estrictamente personal, puede entrar en juego la normativa de protección de datos.
Por esta razón, antes de instalar una cámara exterior conviene comprobar cuidadosamente el campo de visión y utilizar las herramientas disponibles para evitar grabar zonas innecesarias.
¿Qué ocurre si una persona presenta una reclamación?
Una persona que considere que un sistema de videovigilancia está vulnerando sus derechos puede ejercer los derechos que le correspondan y, cuando proceda, presentar una reclamación ante la autoridad de control.
La existencia de una reclamación no significa por sí misma que vaya a imponerse automáticamente una multa. La autoridad debe analizar los hechos y determinar si existe un incumplimiento de la normativa y qué medidas corresponden en función de las circunstancias.
Durante una actuación de investigación, además, la autoridad puede solicitar información al responsable del tratamiento. No atender determinados requerimientos de la autoridad también puede generar consecuencias adicionales. La AEPD señala, por ejemplo, que la falta de atención a determinados requerimientos u órdenes puede constituir una infracción independiente.
¿Cómo evitar sanciones por un sistema de videovigilancia?
La mejor forma de reducir el riesgo de incumplimiento es revisar el sistema de videovigilancia desde el momento de su instalación. No basta con elegir cámaras con buena resolución o suficiente capacidad de almacenamiento; también es necesario comprobar que la instalación y el tratamiento de las imágenes cumplen con la normativa.
La orientación de las cámaras debe limitarse a las zonas necesarias, debe existir la información correspondiente para las personas afectadas y las grabaciones deben conservarse durante el periodo permitido. Además, el acceso a las imágenes debe estar restringido y protegido mediante medidas de seguridad adecuadas.
También es recomendable revisar periódicamente la configuración del sistema. Una cámara que inicialmente estaba correctamente orientada puede terminar captando otras zonas después de una modificación del dispositivo, una obra, un cambio en la distribución del establecimiento o una actualización del sistema.
La AEPD mantiene una sección específica sobre videovigilancia en la que ofrece guías y fichas para diferentes situaciones, como viviendas, comunidades de propietarios, establecimientos comerciales y control laboral.
Conclusión
Las sanciones por incumplir la normativa de videovigilancia en España dependen de la naturaleza y gravedad de la infracción y de las circunstancias concretas de cada caso. El RGPD contempla límites máximos que, para determinadas infracciones, pueden llegar a 20 millones de euros o al 4 % del volumen de negocio total anual global de una empresa, mientras que para otras infracciones los límites son inferiores.
Esto no significa que una pequeña empresa, comunidad de propietarios o particular vaya a recibir automáticamente una multa elevada por cualquier error. La legislación exige valorar diferentes factores para determinar la respuesta adecuada y la cuantía de una eventual sanción.
Además de las multas económicas, pueden existir medidas correctivas destinadas a conseguir que el sistema de videovigilancia se adapte a la normativa. Por eso, cumplir correctamente desde el principio es importante tanto para proteger la privacidad de las personas como para evitar problemas posteriores.
Una instalación correctamente diseñada debe tener en cuenta qué se graba, dónde se graba, durante cuánto tiempo se conservan las imágenes, quién puede acceder a ellas y cómo se informa a las personas afectadas. Revisar estos aspectos permite utilizar las cámaras de seguridad de forma más segura y acorde con las obligaciones de protección de datos.