Cámaras de videovigilancia sin contrato de mantenimiento ni de puesta en servicio. ¿Se puede reclamar ante la AEPD?

Planteamiento

El ayuntamiento adquirió dos cámaras de vigilancia y de equipo informático de almacenamiento de imágenes, con el fin de vigilar la entrada y salida de vehículos del municipio. Se llevó a cabo mediante un contrato menor de suministro que incluía únicamente la compra de las cámaras y su instalación.

Previamente a la compra, se solicitó la autorización de la Delegación del Gobierno para su instalación. Una vez adquiridas, se instalaron, pero en ningún momento se formalizó contrato alguno de mantenimiento ni de puesta en servicio o cualquier otro relacionado con el funcionamiento.

Un concejal ha denunciado que se están obteniendo imágenes mediante dicha grabación, considerándolo ilegal e indicando que va a proceder a formular denuncia a los cuerpos de Seguridad del Estado.

Esta Secretaría ha tenido conocimiento de que las cámaras están funcionando y que, incluso, por agentes de la Policía Local se han cedido imágenes a la Policía Nacional para realizar investigaciones. Las cámaras están conectadas a un servidor situado en una dependencia municipal, que es el que almacena las imágenes, siendo gestionado por la empresa que instaló las cámaras, pero con la que actualmente no se mantiene contrato alguno. No consta aprobación alguna del servicio por parte del ayuntamiento, ni regulación, desconociendo quién y cómo pueden ver o han visto las imágenes, lo que podría suponer una grave vulneración tanto en materia de protección de datos como de seguridad ciudadana.

Se plantea si efectivamente dicha grabación es ilegal, ya que, aunque cuenta con la autorización de la Delegación del Gobierno para su posible puesta en funcionamiento, en ningún momento se ha realizado ningún acto para la puesta en servicio.

Asimismo, ¿es necesario aprobar el servicio y su reglamentación? Si la grabación es ilegal, ¿qué consecuencias y para qué puede tener en el ámbito de responsabilidades administrativas y/o penales?

Si alguien ha visto las grabaciones, ¿ha incurrido en responsabilidad? ¿y el ayuntamiento?

Finalmente, ¿ante quién habría que denunciar los hechos? ¿Sería ante la AEPD o ante los cuerpos de Fuerzas y de Seguridad? ¿Es posible y/o necesario prohibir el acceso al servidor a la empresa?

Respuesta

La imagen es un dato de carácter personal, ya que permite la identificación de personas físicas. Por ello, la videovigilancia con fines de preservar la seguridad supone un tratamiento de datos personales, y por tanto, está sometida al Reglamento General de Protección de Datos -RGPD- y a la LO 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales -LOPD-, quedando amparado su uso en el desarrollo de una tarea en interés público o el ejercicio de poderes públicos (art. 6.1.e RGPD).

La instalación de videocámaras en lugares públicos, tanto fijas como móviles, es competencia exclusiva de las Fuerzas y Cuerpos de Seguridad, rigiéndose el tratamiento de dichas imágenes por su legislación específica, contenida en la LO 4/1997, de 4 de agosto, por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos, y el RD 596/1999, de 16 de abril, por el que se aprueba el Reglamento de desarrollo y ejecución de la Ley Orgánica 4/1997, de 4 de agosto, por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos, sin perjuicio de que les sea aplicable, adicionalmente, lo previsto por el RGPD, en aspectos como la adopción de las medidas de seguridad que resulten de aplicación y la elaboración del registro de actividades en relación con el tratamiento de videovigilancia que se realice.

La LO 4/1997 recoge en su art. 3.2 el régimen de autorización para la instalación de las videocámaras en la vía pública:

• “Las instalaciones fijas de videocámaras por las Fuerzas y Cuerpos de Seguridad del Estado y de las Corporaciones Locales serán autorizadas por el Delegado del Gobierno en la Comunidad Autónoma de que se trate, previo informe de una Comisión cuya presidencia corresponderá al Presidente del Tribunal Superior de Justicia de la misma Comunidad. La composición y funcionamiento de la Comisión, así como la participación de los municipios en ella, se determinarán reglamentariamente.”

El punto 4 del referido artículo determina que:

• “La resolución por la que se acuerde la autorización deberá ser motivada y referida en cada caso al lugar público concreto que ha de ser objeto de observación por las videocámaras. Dicha resolución contendrá también todas las limitaciones o condiciones de uso necesarias, en particular la prohibición de tomar sonidos, excepto cuando concurra un riesgo concreto y preciso, así como las referentes a la cualificación de las personas encargadas de la explotación del sistema de tratamiento de imágenes y sonidos y las medidas a adoptar para garantizar el respeto de las disposiciones legales vigentes. Asimismo, deberá precisar genéricamente el ámbito físico susceptible de ser grabado, el tipo de cámara, sus especificaciones técnicas y la duración de la autorización, que tendrá una vigencia máxima de un año, a cuyo término habrá de solicitarse su renovación”.

En virtud de lo anterior, nos surge la duda de si en dicha resolución no se especificaba, entre otras cuestiones, las medidas a adoptar con respecto al sistema de videovigilancia y en concreto, la necesidad de formalizar contractualmente el servicio.

Adicionalmente, podemos destacar el art. 8.4 de la citada norma legal que recoge que:

• “La Administración competente determinará el órgano o autoridad gubernativa que tendrá a su cargo la custodia de las imágenes obtenidas y la responsabilidad sobre su ulterior destino, incluida su inutilización o destrucción. Dicho órgano será el competente para resolver sobre las peticiones de acceso o cancelación promovidas por los interesados”.

A mayor abundamiento, la Ley 5/2014, de 4 de abril, de Seguridad Privada, que regula también los servicios de seguridad privada prestados a las entidades públicas, enmarca dentro de estos servicios “La instalación y mantenimiento de aparatos, equipos, dispositivos y sistemas de seguridad conectados a centrales receptoras de alarmas o a centros de control o de videovigilancia.”Ahora bien, el art. 6.4 de esta norma establece que:

• “Los prestadores de servicios de seguridad privada que vendan, entreguen, instalen o mantengan equipos técnicos de seguridad, no conectados a centrales receptoras de alarmas o a centros de control o de videovigilancia, quedan fuera del ámbito de aplicación de la legislación de seguridad privada”.

En virtud de lo anterior, el art. 9 de la Ley 5/2014 determina lo siguiente:

• “1. No podrá prestarse ningún tipo de servicio de seguridad privada que no haya sido previamente contratado y, en su caso, autorizado.

• 2. De acuerdo con lo que reglamentariamente se determine, los contratos de prestación de los distintos servicios de seguridad privada deberán, en todo caso, formalizarse por escrito y comunicarse su celebración al Ministerio del Interior o, en su caso, al órgano autonómico competente con antelación a la iniciación de los mismos.

• 3. La comunicación de contratos de servicios de investigación privada contendrá exclusivamente los datos necesarios para identificar a las partes contratantes, excluidos los de carácter personal.”

Por todo lo anterior, la utilización de sistemas de videovigilancia en lugares públicos está sujeta a requisitos muy estrictos ya que, en primer lugar, la autorización de instalación de videocámaras fijas y la utilización de cámaras móviles se otorga por la Delegación del Gobierno previo informe preceptivo y vinculante de la comisión de garantías de la videovigilancia de la comunidad autónoma correspondiente, siendo necesario que el servicio, si resulta de aplicación la Ley 5/2014, se formalice a través de un contrato.

Por otra parte, y en relación con las obligaciones a cumplir desde la óptica de la normativa de protección de datos, los elementos más destacados, son los siguientes:

• - Elaborar el registro de actividades del tratamiento que se realice a través de videovigilancia.

• - Cumplir con el derecho de información mediante un cartel en el que se indique, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos de acceso y supresión que regula el RGPD.

• - Adoptar las correspondientes medidas de seguridad.

• - Formalizar un contrato de tratamiento de datos, siempre y cuando la empresa de videovigilancia pueda tratar las imágenes, que incluya el contenido del art. 28.3 RGPD: El tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable. Dicho contrato o acto jurídico estipulará, en particular, que el encargado.

Finalmente, y centrándome en las posibles reclamaciones por incumplimiento de la normativa de protección de datos en relación con las obligaciones referenciadas, al ser el ámbito de consulta de esta asesoría, la reclamación se interpondría ante la Agencia Española de Protección de Datos.

Conclusiones

1ª. La instalación de un sistema de videovigilancia por parte del ayuntamiento requiere cumplir tanto con las obligaciones de la LO 4/1997 como de la normativa de protección de datos y Ley 5/2014, salvo que el sistema no esté conectado a centrales receptoras de alarmas o a centros de control o de videovigilancia, en cuyo caso quedará fuera del ámbito de aplicación de la Ley 5/2014.

2ª. Dentro de dichas obligaciones se encuentra la necesidad de cumplir medidas de seguridad y determinar el organismo encargado de la custodia de las imágenes, así como los usuarios autorizados a acceder a ellas.

3ª. El ayuntamiento deberá formalizar un contrato con la empresa instaladora del sistema de videovigilancia, en virtud de la Ley 5/2014, que, además, dado que va a tratar a las imágenes para la prestación del servicio, deberá incorporar el contenido del art. 28 RGPD.