Índice
Dictamen jurídico sobre el denominado equipo de registro de imágenes en establecimientos obligados a adoptar medidas de seguridad específicas. Incidencia en su regulación de la normativa de seguridad privada y de protección de datos
Jorge Salgueiro Rodríguez
Abogado del Ilustre Colegio de Abogados de Madrid
Vicepresidente Primero de AECRA (Asociación Europea de Profesionales para Conocimiento y Regulación de las Actividades de Seguridad Ciudadana)
Arbitro por AEADE (Asociación Europea de Arbitraje de Derecho y Equidad)
Director de Seguridad
Master en Asesoría Jurídica por el CEF
Director General de Servicios de Asesoría Legal Interna/Relaciones Institucionales
Securitas Direct España
Cuestión objeto de la presente consulta
Tras consulta por diversos Colectivos profesionales, Asociaciones, Empresas y personal de Seguridad Privada, y por Representantes de Establecimientos Obligados a adoptar Medidas de Seguridad Específicas de los artículos 119 a 135 del RD 2364/94 por el que se aprueba el Reglamento de Seguridad Privada hoy concretado principalmente, a través de la Orden Ministerial 317/2011 de 1 de febrero sobre medidas de seguridad privada, respecto al significado y alcance del denominado equipo de registro de imágenes y el tratamiento legal que debe darse a la utilización de dichos dispositivos, emito el presente Dictamen con la finalidad de aclarar dicha cuestión ofreciendo un criterio interpretativo único sobre este particular.
Normativa analizada sobre el particular
1. Ley 23/92 de Seguridad Privada de 30 de julio.
2. Real Decreto 2364/1994, de 9 de diciembre, por el que se aprueba el Reglamento de Seguridad Privada.
3. Orden del Ministerio de Interior 314/2011 de 1 de febrero sobre Empresas de Seguridad Privada.
4. Orden del Ministerio de Interior 317/2011 de 1 de febrero sobre medidas de seguridad privada.
5. Orden del Ministerio de Interior 316/2011 de 1 de febrero sobre funcionamiento de los sistemas de alarma en el ámbito de la seguridad privada.
6. Ley 30/92 de 26 de noviembre de Régimen Jurídico de las Administraciones Públicas y Procedimiento Administrativo Común.
7. Ley 15/99 de 13 de diciembre sobre Protección de Datos de Carácter Personal y su RD 1720/2007 de 21 de diciembre de Desarrollo de la Ley.
8. Instrucción 1/2006 de 8 de noviembre sobre el tratamiento de Datos Personales con fines de vigilancia a través de cámaras y videocámaras.
9. Informes de la Secretaria General Técnica del Ministerio de Interior.
10. Informes y Resoluciones de la Agencia Española de Protección de Datos.
Estudio de la cuestión planteada
Con carácter general, teniendo en cuenta lo establecido en la Sentencia del Tribunal Supremo de 15 de marzo de 1983, en cuanto a que en la interpretación de las normas no ha de atenderse tanto a la observancia estricta y literal de precepto legal como a su indudable espíritu, recto sentido y verdadera finalidad, ya que las normas jurídicas deben responder a los fines supremos de justicia, libertad e igualdad- Artículo 1 de la Constitución Española-, que únicamente han de considerarse cumplidos, cuando los preceptos se aplican en forma tal que permitan, en aplicación de una adecuada y justa flexibilidad de criterio, acomodarse a las circunstancias del caso, y que cuando se comprueba que la aplicación meramente literal de las disposiciones lleva consigo resultados prácticos desproporcionados o contradictorios, la misma ha de ser desechada.
La medida de seguridad electrónica que es objeto de este documento, con fines de vigilancia, como el equipo de registro de imágenes contemplado en el artículo 4 de la nueva Orden del Ministerio de Interior 317/2011 de 1 de febrero sobre Medidas de Seguridad Privada, que paso denominar en adelante, para una correcta interpretación de las diversas normas aplicables al mismo, como sistema o elemento de captación y grabación de imágenes, es impuesta normativamente a aquellos establecimientos, empresas comerciales o de servicios tasados en los artículos 119 al 135 del RD 2364/94 por el que se aprueba el Reglamento de Seguridad Privada, tales como los Bancos, Cajas de ahorro y Entidades de crédito; Joyerías, Platerías, Galerías de Arte y Tiendas de Antiguedades; Estaciones de servicio y unidades de suministro de combustibles y carburantes, Administraciones de lotería, Despachos de apuestas mutuas y Establecimientos de juego (locales de juegos de azar, bingos) y que conforme a la Disposición adicional Primera de la Orden 317/2011 de 1 de febrero ya citada, vienen obligados a disponer de una caja fuerte de las características del artículo 9 del misma Orden, deberán también, contratar un servicio de instalación, mantenimiento de un sistema de seguridad homologado de los artículos 23 y 24 de la Orden 314/2011 de 1 de febrero de Empresas de Seguridad Privada, conectado con una Central de Alarmas de una Empresa de seguridad.
Y además, la utilización del sistema de captación y grabación de imágenes con la finalidad de vigilancia y protección frente a robo en dichos establecimientos, como un elemento de protección electrónico integrante de un sistema de seguridad homologado, constituye sin duda alguna, un tratamiento de imágenes como dato de carácter personal, de personas identificadas o identificables, al que como tal fichero o conjunto estructurado de datos es realizado por titular de dichos establecimientos obligados a adoptar medidas de seguridad específicas, quién deviene obligado a contratar un servicio de seguridad privada exclusivo y excluyente con una Central de Alarmas de una Empresa de Seguridad, asumiendo además las obligaciones propias de un Responsable del fichero y de su tratamiento, que se encuentran previstas en la Ley 15/99 de 13 de diciembre de Protección de Datos de Carácter personal así como en la Instrucción 1/2006 de 8 de noviembre de la Agencia Española de protección de Datos sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras.
Tales imágenes grabadas, como dato de carácter personal, a la hora de poder procederse a su archivo y conservación con la finalidad prevista en el artículo 120.1 a) del Reglamento de Seguridad Privada, adoptarán una forma determinada a través de un soporte, entendiéndose por tal: “ El material en cuya superficie se registra información como puede ser un cinta de video, o un disco compacto o un disco duro o cualquier formato electrónico o digital”.
El término equipo de registro de imágenes no aparece definido como tal, ni en la normativa de seguridad privada ni en la normativa de protección de datos aplicable.
Por consiguiente, la denominación correcta que debiera haberse insertado en el artículo 4 de la Orden citada para dichos Equipos, es la prevista en el artículo 120.1 a) del Reglamento de Seguridad Privada, como sistema de captación y registro de imágenes, entre los cuáles se encontrarían por supuesto, las cámaras y videocámaras como ejemplos tecnológicos de dicho dispositivos electrónicos de captación y grabación de imágenes, sí recogidas expresamente en la Instrucción 1/2006 de la Agencia Española de Protección de Datos.
De lo expuesto reitero, la poco afortunada la titulación del artículo 4 de la Orden de equipos de registro de imágenes, remitiéndome a partir del presente momento, a lo contemplado en el artículo 120.1 apartado a) del Reglamento de Seguridad Privada como “aquellos sistemas de captación y registro (sustituyo por grabación), con capacidad para obtener las imágenes de los autores de delitos contra las personas y contra la propiedad, cometidos en los establecimientos y oficinas, que permitan la posterior identificación de aquéllos, y que habrán de funcionar durante el horario de atención al público, sin que requieran la intervención inmediata de los empleados de la entidad”.
Considero así, que el propósito que ha guiado al legislador tras lectura de la Orden 317/2011 ya meritada, al referirse a los Equipos de registro de imágenes se centra en definir los mismos como: “Aquella medida de seguridad específica que debe adoptar el titular de dicho establecimiento obligado, de acuerdo con la normativa de seguridad privada, para la protección del fichero de imágenes y/o sonidos, archivado en cualquier soporte admisible tecnológicamente, tras la labor de captación y grabación de imágenes realizada por medio de una cámara o videocámara, así como el lugar en dónde se debe conservar dichas imágenes grabadas, de acuerdo con el artículo 4 apartado 1 de esta Orden “en lugares no visibles para el público”.
El artículo 5 de la misma Orden que lleva por titulo “dispositivos electrónicos de seguridad”, se halla relacionado claramente con el artículo 4 ya citado, conteniendo una serie recomendaciones de diseño o ubicación que habrán de tenerse en cuenta por una empresa de seguridad homologada cuando ejecute la instalación del sistema de seguridad electrónico, inclusive el elemento captación y grabación de imágenes, respecto a cualquier establecimiento obligado a adoptar medidas de seguridad específicas de los tasados reglamentariamente salvo las Farmacias, frente a todo riesgo de robo o intrusión, y referencias a las zonas o áreas en dónde se deben instalar con carácter principal dichos elementos de protección electrónica cuando se afirma: “y proteger como mínimo los elementos en dónde se deposite el efectivo y los puntos de acceso al establecimiento”.
La disposición adicional primera de la Orden 317/2011 igualmente aplicable a dichos establecimientos obligados, ratifica la doble función o finalidad legítima conferida a estos sistemas (elementos) de captación y grabación de imágenescon fines de vigilancia, como elemento de seguridad de protección frente al robo o intrusión, utilizado por el titular del establecimiento obligado, que capta y graba imágenes de manera permanente en su ámbito privado de uso público, durante el horario en que dicho local se halla abierto al público y que además funciona como elemento o medio técnico de verificación por video utilizado una Central de Alarmas conforme al Procedimiento por medios técnicos del artículo 8 de la Orden 316/2011 de 1 de febrero sobre funcionamiento de los sistemas de alarma en el ámbito de la seguridad privada, por haberse formalizado el preceptivo contrato de explotación a Central de Alarmas por el titular de dicho establecimiento, captando y grabando imágenes por tiempo determinado, cuando el local protegido se halle cerrado al público, el sistema de seguridad se encuentre activado o bien se genere la recepción de una señal de alarma por la Central de Alarmas a través de un pulsador de SOS, y ello conforme a lo dispuesto en el último párrafo de la meritada Disposición que:” tales instalaciones contarán entre sus elementos, con un sistema de registro de imágenes, con las características recogidas en el artículo 4 de la presente Orden, permitiendo con ello a la central de Alarmas, la verificación de las señales de alarma que pudiesen producirse”.
En el mismo contenido y sentido que el expresado anteriormente, como medio de verificación de las señales de alarma, el artículo 4 apartado 3 de la Orden 317/2011 de 1 de febrero de Medidas de Seguridad Privada, establece que: “Estos equipos de registro de imágenes deberán estar conectados permanentemente al sistema de seguridad de la entidad, de forma que puedan ser utilizados como elemento de verificación por la central de Alarmas autorizada a que estuviera conectados, conforme a lo previsto en el artículo 8 apartado 2 de la Orden 316/2011 de 1 de febrero sobre funcionamiento de sistemas de alarma en el ámbito de la seguridad privada” cuando se dispone que: “Iniciada la verificación, el sistema debe registrar un mínimo de una imagen del momento exacto de la alarma y dos imágenes posteriores a ella en un ventana de tiempo de cinco segundo, de forma que permitan identificar la causa que ha originado está” y amplia el apartado 3 de dicho artículo que dicha cámara o videocámara, actuando como elemento de protección y verificación de señales de alarma con una Central de Alarmas homologada no podrá obtener imágenes del lugar protegido si previamente no se ha producido una señal de alarma procedente del sistema de seguridad instalado, sea cuando el sistema de seguridad se encontrare activado o bien procedente de su activación a través de un pulsador salvo en el supuesto de autorización expresa del titular o cuando se exija una grabación permanente en base a una norma.
Considero que este apartado 3 del artículo citado, ofrece una solución admitida en derecho que debe ser valorada, con una finalidad de reducción de riesgos de robo del soporte de imagen que se hallara almacenado en dicho local protegido, para que aquellos titulares de establecimientos obligados que no deseen asumir la responsabilidad directa frente a la normativa de protección de datos y de seguridad privada, del tratamiento de las imágenes captadas y grabadas durante el tiempo en que el establecimiento se encuentre abierto a público, otorguen a la Empresa de Seguridad homologada para la actividad de Central de Alarmas, una autorización expresa sea en el propio contrato o en documento separado, para que proceda además de lo exigido legalmente por razón de su actividad, al archivo y tratamiento de todas aquellas imágenes captadas y grabadas de forma ininterrumpida por dicho elemento o sistema, cuando el citado establecimiento se halle abierto al público.
Así pues, es claro que esta oferta o prestación, puede constituir para la Central de la Alarmas de la Empresa de seguridad a nivel de responsabilidades administrativas, una obligación adicional no prevista legalmente, en cuanto a la responsabilidad del tratamiento de las imágenes frente la Normativa de Protección de Datos, al plantearse en este supuesto, la asunción por la Empresa de Seguridad de una obligación de custodia de las imágenes captadas y obtenidas no ligadas exclusivamente a lo que es objeto de su actividad dentro de la normativa de seguridad privada del procedimiento de verificación de señales de alarma a que viene obligada de acuerdo con el artículo 48.2 del Reglamento de Seguridad Privada.
Además, la posible asunción por la Central de Alarmas de la Empresa de Seguridad de dicha tarea, tiene una posible consecuencia a nivel práctico, respecto al plazo de la conservación de las imágenes captadas y grabadas por dichos dispositivos.
Así, el artículo 120, 1 a) del Reglamento de Seguridad Privada, concede un plazo mínimo de conservación de las imágenes de 15 días para aquellos titulares de establecimientos que realicen dicha labor de captación y grabación de imágenes, frente al plazo de 30 días que corresponde a la Central de Alarmas cuando proceda de la utilización contractual de dichos elementos como medio de verificación e identificación de realidad de los señales de alarma recibidas.
Expresar un detalle significativo, y es que actualmente no he podido encontrar ninguna opinión fundada doctrinal sobre este particular.
La situación normal planteada en el artículo 120.1 a) del Reglamento de Seguridad Privada, en relación a los soportes de las imágenes grabados y grabados a través de los sistemas instalados por una empresa de seguridad homologada, es que la responsabilidad de custodia y protección frente al robo de dichos soportes, es asumida directamente por el titular del establecimiento obligado a disponer de medidas de seguridad electrónicas, al tener dicha información un carácter reservado y estar destinado dicho fichero destinado exclusivamente para ser utilizado por las Fuerzas y Cuerpos de Seguridad y autoridades judiciales como medio de identificación de los autores de delitos contra las personas y contra la propiedad, han de estar protegidos frente al robo a través de un sistema de protección que es concretado en el artículo 4 de la Orden 317/2011 de 1 de febrero.
Los equipos denominados de registro de imágenes en la Orden del Ministerio de Interior 317/2011, debo identificarlos con los sistemas de cámaras y videocámaras con fines de vigilancia aludidos por la Instrucción 1/2006 de la Agencia Española de Protección de Datos ya meritada ( como elementos de protección de captación y grabación de imágenes con fines de seguridad), y además estos equipos de registro (grabación) (cámaras y videocámaras) como elemento de protección electrónico específico, impuesto normativamente a establecimientos obligados a contar con una caja fuerte de las características del artículo 9 de la Orden 317/2011 de 1 de febrero de nivel de seguridad IV descritas en la Norma UNE EN 1143-1, deberán siempre estar instalados en el interior del establecimiento obligado y nunca en el exterior del mismo en vía pública, al hallarse reservado su utilización y tratamiento de imágenes y sonidos en los espacios públicos a las Fuerzas y Cuerpos de Seguridad, y ello de acuerdo con las exigencias descritas en la Ley 4/97 de 4 de agosto de regulación de la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en espacios públicos y Reglamento de Desarrollo.
Este mismo artículo, respecto a los ficheros de datos de carácter personal de imágenes y sonidos captados y grabados en el interior de dicho establecimiento protegido, contempla la obligatoria adopción por parte del titular de dicho establecimiento obligado, de un sistema de protección del fichero de imágenes captadas y grabadas contra el riesgo de robo, durante el periodo de tiempo en que dicho establecimiento se encuentre abierto al público, como una medida de retardo obtenida sea por medios informáticos, físicos o electrónicos para la acceso o bloqueo de dichos ficheros de al menos diez minutos, que como bien sabemos viene descrita en el artículo 9 de la Orden 317/2011 de 1 de febrero para las cajas fuertes:
Un medio tradicional empleado para archivo y conservación de las imágenes obtenidas a través de dichos elementos o sistemas de grabación y registro de imágenes, no contemplado en la normativa de seguridad privada, es la utilización de un videograbador, conceptuándose por videograbación, de acuerdo con lo previsto en el Diccionario de la Real Academia española de la Lengua como “la grabación hecha en vídeo” y por vídeo: “aquel sistema de grabación y reproducción de imágenes acompañadas o no de sonidos mediante cinta magnética” o “aquel aparato que graba y reproduce cintas magnéticas, imágenes y sonidos procedentes de la televisión o de otro aparato de video”. En concreto, la Agencia Española de Protección Datos en su Resolución a Expediente sancionador R/00258/2008 establece expresamente sobre este particular como ejemplo de medida física de protección del soporte de imágenes cuando se emplean videograbadores:”Los soportes con las imágenes se custodian en el interior de un armario ubicado en la sala de control, teniendo acceso a ésta, exclusivamente, el personal de la empresa contratada y el Responsable de Seguridad. Así mismo, en su caso, se facilitan a las Fuerzas y Cuerpos de Seguridad y a los jueces y Tribunales de Justicia”.
Y ante el avance permanente provocado por las nuevas tecnologías en este ámbito, otro medio que igualmente, si bien no hallándose previsto expresamente en la normativa de seguridad privada, sí podría considerarse válido para el archivo y conservación de las imágenes obtenidos a través de dichos dispositivos de captación y grabación de imágenes, lo podría constituir la unidad de memoria o almacenamiento de la propia cámara o videocámara, a través de la cuál es más que evidente puede realizarse función idéntica a la del videograbador. El matiz diferencial en tal supuesto, reside en el medio empleado en el soporte de la grabación, dado que en un videograbador se trataría de una cinta magnética y en el caso presente se hace referencia a un archivo digital.
Por consiguiente, este principio de libertad de forma, otorgado al titular del establecimiento obligado, en cuanto al formato de soporte de la imagen, se ve restringido por la normativa de seguridad privada en el artículo 120.1 a) del Reglamento de Seguridad Privada y artículo 4.1 de la Orden del Ministerio de Interior 317/2011, respecto al sistema de seguridad que debe adoptar para protección del soporte frente al riesgo de robo, que por supuesto en razón a los nuevos avances tecnológicos producidos en dichos dispositivos, puede ser técnico ( a través de software o algo similar) exclusivamente en tal caso, mientras que en el supuesto en que se utilice un videograbador, el sistema de protección frente al robo, se concretará en la instalación de una medida de seguridad física tal y como se contempla en el apartado 2 del artículo citado.Eso sí en ambos casos, el sistema de protección frente al robo del soporte de imágenes, deberá contar con un dispositivo de apertura retardada para acceso a la información como mínimo de 10 minutos.
¿Y cuál es concepto de responsable de fichero y de su tratamiento conforme a la normativa de protección de datos para un adecuada comprensión del presente Dictamen?
La Ley 15/99 de Protección de Datos y su Reglamento de Desarrollo, recoge y diferencia las figuras del Responsable del fichero y del tratamiento así como de Encargado de Tratamiento.
Efectivamente, el artículo 3.d) de la LOPD, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Así el responsable del fichero o del tratamiento es “la persona física o jurídica que decida sobre la finalidad, contenido y uso del tratamiento” o bien “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente”; y por Encargado del tratamiento “quien trate datos personales por cuenta del responsable del tratamiento y del fichero”, según viene definido en el artículo 3, apartados d) y g), respectivamente, de la Ley Orgánica 15/1999.
Así pues, conforme a las definiciones dadas, el responsable del fichero y del tratamiento del soporte de imagen que debe ser protegido frente al robo de acuerdo con la normativa de seguridad privada, sin duda alguna lo es, el titular del establecimiento obligado a disponer de dicho sistema de captación y registro de imágenes.
Y entre las obligaciones que le corresponden al titular de establecimiento obligado, como responsable del fichero y de su tratamiento así como de encargado del tratamiento de dichos ficheros obtenidos durante el horario de atención al público en el interior del establecimiento sin intervención de ningún empleado se encuentra, como ya he manifestado con anterioridad, ya que dichos dispositivos de seguridad van a captar y grabar imágenes así como a archivarse en un soporte, la de notificar e inscribir el fichero resultante en el Registro General de Protección de Datos, de conformidad con lo dispuesto en el artículo 7 de la Instrucción 1/2006, que reza lo siguiente “1.-La persona o entidad que prevea la creación de ficheros de videovigilancia deberá notificarlo previamente a la Agencia Española de Protección de Datos, para su inscripción en el Registro General de la misma.(...)“.
Respecto al plazo general de conservación de las imágenes por parte del titular del establecimiento obligado ,en cuanto a los ficheros de imágenes declarados e inscritos, durante el horario de atención al público y no vinculados al proceso de verificación realizado por la Central de Alarmas cuando dicho sistema de captación y registro de imágenes actúa como elemento de verificación de señales de alarma hallándose el establecimiento cerrado al público, parece desprenderse que dicho plazo sería de 30 días, y así la Agencia Española de Protección de Datos se pronunció en su Informe Jurídico de fecha 3 de julio de 2008, en cuanto al fundamento de dicho plazo, señalando que:
“El artículo 6 de la instrucción 1/2006, donde se regula el plazo de conservación de las imágenes está íntimamente relacionado con lo dispuesto en el artículo 4.5 de la Ley Orgánica 15/1999 que señala lo siguiente “Los datos serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados.”, dicha previsión se reitera en el artículo 8.6 del Reglamento de desarrollo de la Ley Orgánica”.
Incluso la propia Agencia Española de Protección de Datos, afirmó en numerosas resoluciones e informes que el criterio contemplado del plazo máximo de UN (1) MES, no debe considerarse arbitrario, dado que se ha optado por seguir el mismo criterio que el fijado en la Ley Orgánica 4/1997, de 4 de agosto por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad del Estado en lugares públicos, que en su artículo 8 establece que: “Las grabaciones serán destruidas en el plazo máximo de un mes desde su captación”.
Por otro lado, la Instrucción de la Agencia en su artículo 6 en el mismo sentido dispone que: “Los datos serán cancelados en el plazo máximo de un mes desde su captación”, quiere esto decir que una vez transcurrido dicho plazo las imágenes deberán de ser canceladas”.
Sin embargo, en tal caso, ya que la normativa de seguridad privada contempla una excepción a este plazo general, al establecer en su artículo 120.1 a) del Reglamento de Seguridad Privada, un plazo de conservación de 15 días, la vigencia del principio o criterio de especialidad que debe regir la aplicación de las normas, la norma especial (normativa de seguridad privada) prevalece sobre la norma general (normativa de protección) de datos, debemos considerar que el plazo de conservación de las imágenes que deberán respetar todos los establecimientos obligados a adoptar medidas de seguridad específicas y no sólo las entidades bancarias, será el plazo especial de 15 días y no el plazo general de 30 días.
La Ley Orgánica de Protección de Datos de Carácter Personal, en su artículo 16.3 señala que: “la cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones Públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión”.
La propia Guía de Videovigilancia de la Agencia Española de Protección de Datos en su página 21, respecto a las medidas de seguridad en entidades financieras que después de la entrada en vigor de la Orden del Ministerio de Interior 317/2011 de 1 de febrero sobre Medidas de seguridad Privada debemos de reputar aplicable al resto de establecimientos obligados de los artículos 119 al 135 del Reglamento de Seguridad Privada, al venir obligados todos ellos, salvo el supuesto de las Farmacias, a instalar un dispositivo de captación y grabación de imágenes del artículo 120.1 a) del Reglamento, expresa literalmente:
“Las instalaciones de videovigilancia utilizadas en Bancos, Cajas de Ahorro y demás entidades de crédito están sujetas a reglas específicas. La Ley Orgánica 1/1992, de 21 febrero de Seguridad Ciudadana prevé que por razones de seguridad pública se adopten determinadas medidas, y en virtud de la autorización reglamentaria que esta Ley contiene el Reglamento de Seguridad Privada ha exigido la instalación de cámaras y videocámaras en dichos establecimientos. Así, las previsiones del Real Decreto 2364/1994, por el que se aprueba el Reglamento de Seguridad Privada, deben interpretarse en conexión con la LOPD.
Estas instalaciones son de titularidad privada siendo estas entidades responsables de las mismas. El artículo 120 del Reglamento de Seguridad Privada define peculiaridades en su régimen jurídico…
En estos ficheros, debido a las anteriores restricciones, el derecho de acceso de los afectados no es posible, sin perjuicio de que quepa invocar en su caso la tutela de la Agencia Española de Protección de Datos.
La cancelación se produce transcurridos quince días desde la grabación, salvo que hubiesen dispuesto lo contrario las autoridades judiciales o las Fuerzas y Cuerpos de Seguridad competentes.
En lo no específicamente previsto por el Reglamento de Seguridad Privada se aplicará el régimen de la LOPD y de la Instrucción 1/2006”.
Por supuesto que no debemos olvidar, que el titular del establecimiento obligado debe garantizar el derecho de información de sus trabajadores y de los terceros que accedan a su local protegido, en la captación y grabación de imágenes, mediante colocación del cartel o rotulo anunciador de zona videovigilada, y el impreso establecido por la Instrucción 1/2006 de acuerdo con su artículo 3 y así como del artículo 5 de la Ley 15/99.
En relación a dicho deber de información que corresponde al establecimiento obligado, debemos resaltar la referencia efectuada por el artículo 120.1 f del Reglamento de Seguridad Privada al mencionar como obligación que corresponde al establecimiento obligado respecto al deber de información aludido: “la instalación de carteles del tamaño que se determine por el Ministerio de Justicia e Interior u otros sistemas de información de análoga eficacia con referencia expresa.., y en su caso, al sistema permanente de captación de imágenes”. Indicar a los efectos informativos oportunos, que dado que la Instrucción 1/2006 de la Agencia es posterior en el tiempo al mencionado artículo del Reglamento de Seguridad Privada, debo considerar que el rótulo que debiera instalar dicho establecimiento es el previsto en dicha Instrucción y no uno específico como sistema permanente de grabación de imágenes cuyo modelo o formato nunca ha sido determinado por el Ministerio de Interior.
¿Y qué tratamiento a nivel de normativa de protección de Datos, hemos de dar al supuesto en que el sistema de captación y grabación de imágenes actúe como un elemento de seguridad y verificación por video del artículo 48.2 del Reglamento de Seguridad Privada así como del artículo 8 de la orden del Ministerio de Interior 316/2011 de 1 de febrero sobre funcionamiento de los sistemas, durante el periodo de tiempo en que el establecimiento se encuentra cerrado o incluso abierto pero se produce una activación del sistema de seguridad homologado conectado a Central de Alarmas?
El Informe Jurídico 360/2009 de la Agencia Española de Protección de Datos aborda por primera vez la distinción aludida en este Dictamen, en relación a los dos situaciones posibles surgidas en la prestación de servicios de seguridad privada, tal como la utilización de sistemas de captación y grabación de imágenes en ámbitos privados, y particularmente en relación a quien ostenta la condición del Responsable y Encargado del fichero, que paso a reproducir literalmente a continuación:
“La implementación de sistemas de videovigilancia puede dar lugar a distintos tipos de prestación: Una empresa externa (añado de seguridad) puede prestar servicios consistentes en:
-Instalación y/o mantenimiento técnico de los equipos y sistemas de videovigilancia sin acceso a las imágenes:
En este caso la empresa de seguridad no posee la condición de encargado de tratamiento correspondiendo al responsable, que la contrató, la adaptación de la instalación a los requisitos normativos. Ello, sin perjuicio de la eventual responsabilidad de la empresa por incumplir el deber de asesoramiento previsto en el artículo 5 LSP. Ej. La simple instalación técnica de las cámaras y los equipos de grabación por una empresa de seguridad que actúa como instalador autorizado contratado por una comunidad de propietarios limitándose a tareas puramente técnicas que no comporten acceso a las imágenes.
-Instalación y/o mantenimiento de los equipos y sistemas de videovigilancia con utilización de los equipos o acceso a las imágenes.
Únicamente en este segundo caso, la empresa de seguridad será considerada encargada del tratamiento y la obligatoriedad de cumplir con las obligaciones de lo dispuesto por el artículo 12 LOPD. Ej. Las empresas de seguridad que prestan servicios combinados de central de alarmas y videovigilancia de modo que cuando se activa la alarma se comprueban directamente las imágenes por el personal de la empresa de seguridad.”
Pues bien, de lo expuesto en dicho Informe, debo afirmar como criterio interpretativo en lo que la conceptuación de quienes son Responsables frente a la normativa de protección de datos, lo siguiente:
En caso de tratarse de un sistema (elemento) de captación y grabación de imágenes instalado por una Empresa de Seguridad homologada, el tratamiento de datos efectuado durante el plazo en que no se halle conectado a una Central de Alarmas de una Empresa de Seguridad, tal y como viene expresado en el artículo 120.1 a) del Reglamento de Seguridad Privada, supone que el titular de dicho establecimiento obligado a adoptar medidas de seguridad específicas por la normativa de seguridad privada (entre ellas el sistema de captación y grabación de imágenes con esta característica técnica), asumirá la condición de responsable del fichero de imagen y de su tratamiento.
En caso de tratarse de un sistema (elemento) de captación y grabación de imágenes) instalado por una Empresa de Seguridad homologada que además como elemento de protección electrónica, forma parte integrante de un sistema de seguridad homologado del artículo 23 y 24 de la Orden 314/2011 sobre Empresas de seguridad privada, conectado a la Central de Alarmas de una Empresa de Seguridad, cumpliendo su finalidad de medio técnico de verificación de las señales de alarma por imagen, para determinar mediante su visualización por parte de un operador de una Central, la realidad de un salto de alarma detectado por dicho sistema de seguridad instalado en el ámbito privado objeto de protección, al concurrir la necesaria prestación de un servicio de seguridad privada al titular de dicho establecimiento comercial obligado a adoptar medidas de seguridad electrónica específicas (entre ellas disponer de un elemento de captación y grabación de imágenes con la doble finalidad antes aludida), y la comunicación en caso de identificarse a través de dicho medio técnico entre otros, la confirmación de la señal de alarma real, a una Sala de Operaciones Policial durante un plazo de 5 segundos como mínimo, para garantizar una intervención policial justificada; el titular de dicho establecimiento contratante de un servicio de conexión a Central de Alarmas, asume la condición de responsable del fichero y de su tratamiento mientras que la Central de Alarmas de la Empresa de Seguridad ostentará la condición de encargado del tratamiento, quedando regulado dicho tratamiento de datos del artículo 12 de la Ley 15/99 de Protección de Datos de Carácter personal mediante firma por ambas partes del contrato de servicios de seguridad del artículo 6 de la Ley 23/92 de Seguridad Privada y artículo 20 del Reglamento de Seguridad Privada.
Nota importante: Para aquellos ámbitos domiciliarios en que pudieran desarrollarse actividades de tratamiento de datos personales de uso y consumo doméstico, por su titulares, a través de dispositivos de captación y grabación de imágenes, entiendo no resulta aplicable la normativa de protección de Datos conforme a lo dispuesto en la Instrucción 1/2006 de la Agencia , siendo criterio unánimamente admitido, con el cuál coincido plenamente, que para el supuesto en que el titular de dicho domicilio decidiera voluntariamente contratar un servicio de seguridad privada concretamente de explotación a través de central de Alarmas y de instalación y mantenimiento de un sistema de seguridad homologado conectado, incluyendo un elemento de captación y grabación de imágenes con fines de vigilancia y protección en ámbito privado, la Empresa de seguridad homologada para la actividad de Central de Alarmas, adquiere la condición de responsable del fichero de gestión de sistemas de videovigilancia con acceso a las imágenes de sus clientes, dado que no resulta aplicable la excepción del artículo 2.a de la Ley Orgánica 15/1999, antes mencionada.
Conclusiones finales
Los sistemas de seguridad susceptibles de generar una intervención policial incluido el elemento de captación y grabación de imágenes, instalados por las Empresas de Seguridad homologadas a los titulares de los establecimientos tasados en los artículos 119 a 135 del Reglamento de Seguridad Privada, para garantizar su eficacia y eficiencia preventiva frente al delito, evitando molestias o daños a terceros, habrán de cumplir, de acuerdo con el artículo 2.1 c de la Orden 316/2011 de 1 de febrero sobre funcionamiento de sistemas de alarma en el ámbito de la seguridad privada, un nivel de seguridad o de resistencia frente a un ataque contra la propiedad o las personas, por razón del riesgo que pueda afectar a dichos establecimientos que será siempre de grado 3: “para todos aquellos establecimientos obligados a disponer de medidas de seguridad así como aquellas otras instalaciones comerciales o industriales a las que por su actividad u otras circunstancias se les exija disponer de conexión a central de alarmas, en su caso a un centro de control.
Por consiguiente, los titulares de dichos establecimientos obligados, salvo en el supuesto de las Farmacias por no estar obligadas a disponer de una caja fuerte, de acuerdo con la Disposición Adicional primera de la Orden 317/2011, deberán contratar servicios de seguridad privada tal y como la instalación y el mantenimiento de un sistema de seguridad electrónico homologado de nivel de seguridad ya referido ( artículo 2 de la Orden del Ministerio de Interior 316/2011 y artículos 23 y 24 de la Orden del Ministerio de Interior 314/2011) compuesto de tres elementos de detección como mínimo, así como de un elemento de verificación por video (elemento de captación y grabación de imágenes), que deberá hallarse conectado a una Central de Alarmas de una Empresa de Seguridad sea de uso propio o ajeno, con una Empresa de Seguridad homologada, en las condiciones y con las finalidades legítimas habilitadas legalmente, previstas en la normativa de Seguridad Privada.
El elemento de protección denominado de captación y grabación de imágenes, habrá de funcionar además autónomamente, sin intervención de la Central de Alarmas de Empresa de Seguridad, sea de uso propio o ajeno, bajo responsabilidad del titular del establecimiento, realizando un tratamiento de datos de carácter personal (responsable del fichero y de su tratamiento), durante el plazo de tiempo en que el local esté abierto al público, captando, grabando y archivando imágenes de los autores de delitos contra las personas o la propiedad cometidos en dichos establecimientos, para identificación de los mismos, a disposición exclusiva de las autoridades judiciales y de las dependencias de las Fuerzas y Cuerpos de Seguridad, conservándose durante un plazo mínimo de 15 días desde que fueron captadas y grabadas las mismas, de acuerdo con las condiciones previstas en la Ley 15/99 de 13 de diciembre de Protección de Datos de Carácter Personal, su RD 1720/2007 de 21 de diciembre de desarrollo de la Ley 15/99 ya citada, y específicamente la
Instrucción 1/2006 de 08 de noviembre sobre tratamiento de datos de carácter personal con fines de vigilancia a través de cámaras o videocámaras.
En cuanto a la definición de medio o soporte para archivo de dichas imágenes ya mencionado en el presente estudio, vuelvo a reiterar que en modo alguno es competencia de normativa de seguridad privada su regulación, y sí por el contrario corresponde a la normativa de protección de datos aplicable, el establecimiento de las medidas de seguridad (documento de seguridad) aplicables para protección de dichos datos de carácter personal.
Y para que así conste, y surta los oportunos efectos privados,
En Madrid a 14 de mayo de 2.012
Jorge Salgueiro Rodríguez
Abogado del Ilustre Colegio de Abogados de Madrid
Vicepresidente Primero de AECRA (Asociación Europea de Profesionales para Conocimiento y Regulación de las Actividades de Seguridad Ciudadana)
Arbitro por AEADE (Asociación Europea de Arbitraje de Derecho y Equidad)
Director de Seguridad
Master en Asesoría Jurídica por el CEF
Director General de Servicios de Asesoría Legal Interna/Relaciones Institucionales
Securitas Direct España
Cuestión objeto de la presente consulta
Tras consulta por diversos Colectivos profesionales, Asociaciones, Empresas y personal de Seguridad Privada, y por Representantes de Establecimientos Obligados a adoptar Medidas de Seguridad Específicas de los artículos 119 a 135 del RD 2364/94 por el que se aprueba el Reglamento de Seguridad Privada hoy concretado principalmente, a través de la Orden Ministerial 317/2011 de 1 de febrero sobre medidas de seguridad privada, respecto al significado y alcance del denominado equipo de registro de imágenes y el tratamiento legal que debe darse a la utilización de dichos dispositivos, emito el presente Dictamen con la finalidad de aclarar dicha cuestión ofreciendo un criterio interpretativo único sobre este particular.
Normativa analizada sobre el particular
1. Ley 23/92 de Seguridad Privada de 30 de julio.
2. Real Decreto 2364/1994, de 9 de diciembre, por el que se aprueba el Reglamento de Seguridad Privada.
3. Orden del Ministerio de Interior 314/2011 de 1 de febrero sobre Empresas de Seguridad Privada.
4. Orden del Ministerio de Interior 317/2011 de 1 de febrero sobre medidas de seguridad privada.
5. Orden del Ministerio de Interior 316/2011 de 1 de febrero sobre funcionamiento de los sistemas de alarma en el ámbito de la seguridad privada.
6. Ley 30/92 de 26 de noviembre de Régimen Jurídico de las Administraciones Públicas y Procedimiento Administrativo Común.
7. Ley 15/99 de 13 de diciembre sobre Protección de Datos de Carácter Personal y su RD 1720/2007 de 21 de diciembre de Desarrollo de la Ley.
8. Instrucción 1/2006 de 8 de noviembre sobre el tratamiento de Datos Personales con fines de vigilancia a través de cámaras y videocámaras.
9. Informes de la Secretaria General Técnica del Ministerio de Interior.
10. Informes y Resoluciones de la Agencia Española de Protección de Datos.
Estudio de la cuestión planteada
Con carácter general, teniendo en cuenta lo establecido en la Sentencia del Tribunal Supremo de 15 de marzo de 1983, en cuanto a que en la interpretación de las normas no ha de atenderse tanto a la observancia estricta y literal de precepto legal como a su indudable espíritu, recto sentido y verdadera finalidad, ya que las normas jurídicas deben responder a los fines supremos de justicia, libertad e igualdad- Artículo 1 de la Constitución Española-, que únicamente han de considerarse cumplidos, cuando los preceptos se aplican en forma tal que permitan, en aplicación de una adecuada y justa flexibilidad de criterio, acomodarse a las circunstancias del caso, y que cuando se comprueba que la aplicación meramente literal de las disposiciones lleva consigo resultados prácticos desproporcionados o contradictorios, la misma ha de ser desechada.
La medida de seguridad electrónica que es objeto de este documento, con fines de vigilancia, como el equipo de registro de imágenes contemplado en el artículo 4 de la nueva Orden del Ministerio de Interior 317/2011 de 1 de febrero sobre Medidas de Seguridad Privada, que paso denominar en adelante, para una correcta interpretación de las diversas normas aplicables al mismo, como sistema o elemento de captación y grabación de imágenes, es impuesta normativamente a aquellos establecimientos, empresas comerciales o de servicios tasados en los artículos 119 al 135 del RD 2364/94 por el que se aprueba el Reglamento de Seguridad Privada, tales como los Bancos, Cajas de ahorro y Entidades de crédito; Joyerías, Platerías, Galerías de Arte y Tiendas de Antiguedades; Estaciones de servicio y unidades de suministro de combustibles y carburantes, Administraciones de lotería, Despachos de apuestas mutuas y Establecimientos de juego (locales de juegos de azar, bingos) y que conforme a la Disposición adicional Primera de la Orden 317/2011 de 1 de febrero ya citada, vienen obligados a disponer de una caja fuerte de las características del artículo 9 del misma Orden, deberán también, contratar un servicio de instalación, mantenimiento de un sistema de seguridad homologado de los artículos 23 y 24 de la Orden 314/2011 de 1 de febrero de Empresas de Seguridad Privada, conectado con una Central de Alarmas de una Empresa de seguridad.
Y además, la utilización del sistema de captación y grabación de imágenes con la finalidad de vigilancia y protección frente a robo en dichos establecimientos, como un elemento de protección electrónico integrante de un sistema de seguridad homologado, constituye sin duda alguna, un tratamiento de imágenes como dato de carácter personal, de personas identificadas o identificables, al que como tal fichero o conjunto estructurado de datos es realizado por titular de dichos establecimientos obligados a adoptar medidas de seguridad específicas, quién deviene obligado a contratar un servicio de seguridad privada exclusivo y excluyente con una Central de Alarmas de una Empresa de Seguridad, asumiendo además las obligaciones propias de un Responsable del fichero y de su tratamiento, que se encuentran previstas en la Ley 15/99 de 13 de diciembre de Protección de Datos de Carácter personal así como en la Instrucción 1/2006 de 8 de noviembre de la Agencia Española de protección de Datos sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras.
Tales imágenes grabadas, como dato de carácter personal, a la hora de poder procederse a su archivo y conservación con la finalidad prevista en el artículo 120.1 a) del Reglamento de Seguridad Privada, adoptarán una forma determinada a través de un soporte, entendiéndose por tal: “ El material en cuya superficie se registra información como puede ser un cinta de video, o un disco compacto o un disco duro o cualquier formato electrónico o digital”.
El término equipo de registro de imágenes no aparece definido como tal, ni en la normativa de seguridad privada ni en la normativa de protección de datos aplicable.
Por consiguiente, la denominación correcta que debiera haberse insertado en el artículo 4 de la Orden citada para dichos Equipos, es la prevista en el artículo 120.1 a) del Reglamento de Seguridad Privada, como sistema de captación y registro de imágenes, entre los cuáles se encontrarían por supuesto, las cámaras y videocámaras como ejemplos tecnológicos de dicho dispositivos electrónicos de captación y grabación de imágenes, sí recogidas expresamente en la Instrucción 1/2006 de la Agencia Española de Protección de Datos.
De lo expuesto reitero, la poco afortunada la titulación del artículo 4 de la Orden de equipos de registro de imágenes, remitiéndome a partir del presente momento, a lo contemplado en el artículo 120.1 apartado a) del Reglamento de Seguridad Privada como “aquellos sistemas de captación y registro (sustituyo por grabación), con capacidad para obtener las imágenes de los autores de delitos contra las personas y contra la propiedad, cometidos en los establecimientos y oficinas, que permitan la posterior identificación de aquéllos, y que habrán de funcionar durante el horario de atención al público, sin que requieran la intervención inmediata de los empleados de la entidad”.
Considero así, que el propósito que ha guiado al legislador tras lectura de la Orden 317/2011 ya meritada, al referirse a los Equipos de registro de imágenes se centra en definir los mismos como: “Aquella medida de seguridad específica que debe adoptar el titular de dicho establecimiento obligado, de acuerdo con la normativa de seguridad privada, para la protección del fichero de imágenes y/o sonidos, archivado en cualquier soporte admisible tecnológicamente, tras la labor de captación y grabación de imágenes realizada por medio de una cámara o videocámara, así como el lugar en dónde se debe conservar dichas imágenes grabadas, de acuerdo con el artículo 4 apartado 1 de esta Orden “en lugares no visibles para el público”.
El artículo 5 de la misma Orden que lleva por titulo “dispositivos electrónicos de seguridad”, se halla relacionado claramente con el artículo 4 ya citado, conteniendo una serie recomendaciones de diseño o ubicación que habrán de tenerse en cuenta por una empresa de seguridad homologada cuando ejecute la instalación del sistema de seguridad electrónico, inclusive el elemento captación y grabación de imágenes, respecto a cualquier establecimiento obligado a adoptar medidas de seguridad específicas de los tasados reglamentariamente salvo las Farmacias, frente a todo riesgo de robo o intrusión, y referencias a las zonas o áreas en dónde se deben instalar con carácter principal dichos elementos de protección electrónica cuando se afirma: “y proteger como mínimo los elementos en dónde se deposite el efectivo y los puntos de acceso al establecimiento”.
La disposición adicional primera de la Orden 317/2011 igualmente aplicable a dichos establecimientos obligados, ratifica la doble función o finalidad legítima conferida a estos sistemas (elementos) de captación y grabación de imágenescon fines de vigilancia, como elemento de seguridad de protección frente al robo o intrusión, utilizado por el titular del establecimiento obligado, que capta y graba imágenes de manera permanente en su ámbito privado de uso público, durante el horario en que dicho local se halla abierto al público y que además funciona como elemento o medio técnico de verificación por video utilizado una Central de Alarmas conforme al Procedimiento por medios técnicos del artículo 8 de la Orden 316/2011 de 1 de febrero sobre funcionamiento de los sistemas de alarma en el ámbito de la seguridad privada, por haberse formalizado el preceptivo contrato de explotación a Central de Alarmas por el titular de dicho establecimiento, captando y grabando imágenes por tiempo determinado, cuando el local protegido se halle cerrado al público, el sistema de seguridad se encuentre activado o bien se genere la recepción de una señal de alarma por la Central de Alarmas a través de un pulsador de SOS, y ello conforme a lo dispuesto en el último párrafo de la meritada Disposición que:” tales instalaciones contarán entre sus elementos, con un sistema de registro de imágenes, con las características recogidas en el artículo 4 de la presente Orden, permitiendo con ello a la central de Alarmas, la verificación de las señales de alarma que pudiesen producirse”.
En el mismo contenido y sentido que el expresado anteriormente, como medio de verificación de las señales de alarma, el artículo 4 apartado 3 de la Orden 317/2011 de 1 de febrero de Medidas de Seguridad Privada, establece que: “Estos equipos de registro de imágenes deberán estar conectados permanentemente al sistema de seguridad de la entidad, de forma que puedan ser utilizados como elemento de verificación por la central de Alarmas autorizada a que estuviera conectados, conforme a lo previsto en el artículo 8 apartado 2 de la Orden 316/2011 de 1 de febrero sobre funcionamiento de sistemas de alarma en el ámbito de la seguridad privada” cuando se dispone que: “Iniciada la verificación, el sistema debe registrar un mínimo de una imagen del momento exacto de la alarma y dos imágenes posteriores a ella en un ventana de tiempo de cinco segundo, de forma que permitan identificar la causa que ha originado está” y amplia el apartado 3 de dicho artículo que dicha cámara o videocámara, actuando como elemento de protección y verificación de señales de alarma con una Central de Alarmas homologada no podrá obtener imágenes del lugar protegido si previamente no se ha producido una señal de alarma procedente del sistema de seguridad instalado, sea cuando el sistema de seguridad se encontrare activado o bien procedente de su activación a través de un pulsador salvo en el supuesto de autorización expresa del titular o cuando se exija una grabación permanente en base a una norma.
Considero que este apartado 3 del artículo citado, ofrece una solución admitida en derecho que debe ser valorada, con una finalidad de reducción de riesgos de robo del soporte de imagen que se hallara almacenado en dicho local protegido, para que aquellos titulares de establecimientos obligados que no deseen asumir la responsabilidad directa frente a la normativa de protección de datos y de seguridad privada, del tratamiento de las imágenes captadas y grabadas durante el tiempo en que el establecimiento se encuentre abierto a público, otorguen a la Empresa de Seguridad homologada para la actividad de Central de Alarmas, una autorización expresa sea en el propio contrato o en documento separado, para que proceda además de lo exigido legalmente por razón de su actividad, al archivo y tratamiento de todas aquellas imágenes captadas y grabadas de forma ininterrumpida por dicho elemento o sistema, cuando el citado establecimiento se halle abierto al público.
Así pues, es claro que esta oferta o prestación, puede constituir para la Central de la Alarmas de la Empresa de seguridad a nivel de responsabilidades administrativas, una obligación adicional no prevista legalmente, en cuanto a la responsabilidad del tratamiento de las imágenes frente la Normativa de Protección de Datos, al plantearse en este supuesto, la asunción por la Empresa de Seguridad de una obligación de custodia de las imágenes captadas y obtenidas no ligadas exclusivamente a lo que es objeto de su actividad dentro de la normativa de seguridad privada del procedimiento de verificación de señales de alarma a que viene obligada de acuerdo con el artículo 48.2 del Reglamento de Seguridad Privada.
Además, la posible asunción por la Central de Alarmas de la Empresa de Seguridad de dicha tarea, tiene una posible consecuencia a nivel práctico, respecto al plazo de la conservación de las imágenes captadas y grabadas por dichos dispositivos.
Así, el artículo 120, 1 a) del Reglamento de Seguridad Privada, concede un plazo mínimo de conservación de las imágenes de 15 días para aquellos titulares de establecimientos que realicen dicha labor de captación y grabación de imágenes, frente al plazo de 30 días que corresponde a la Central de Alarmas cuando proceda de la utilización contractual de dichos elementos como medio de verificación e identificación de realidad de los señales de alarma recibidas.
Expresar un detalle significativo, y es que actualmente no he podido encontrar ninguna opinión fundada doctrinal sobre este particular.
La situación normal planteada en el artículo 120.1 a) del Reglamento de Seguridad Privada, en relación a los soportes de las imágenes grabados y grabados a través de los sistemas instalados por una empresa de seguridad homologada, es que la responsabilidad de custodia y protección frente al robo de dichos soportes, es asumida directamente por el titular del establecimiento obligado a disponer de medidas de seguridad electrónicas, al tener dicha información un carácter reservado y estar destinado dicho fichero destinado exclusivamente para ser utilizado por las Fuerzas y Cuerpos de Seguridad y autoridades judiciales como medio de identificación de los autores de delitos contra las personas y contra la propiedad, han de estar protegidos frente al robo a través de un sistema de protección que es concretado en el artículo 4 de la Orden 317/2011 de 1 de febrero.
Los equipos denominados de registro de imágenes en la Orden del Ministerio de Interior 317/2011, debo identificarlos con los sistemas de cámaras y videocámaras con fines de vigilancia aludidos por la Instrucción 1/2006 de la Agencia Española de Protección de Datos ya meritada ( como elementos de protección de captación y grabación de imágenes con fines de seguridad), y además estos equipos de registro (grabación) (cámaras y videocámaras) como elemento de protección electrónico específico, impuesto normativamente a establecimientos obligados a contar con una caja fuerte de las características del artículo 9 de la Orden 317/2011 de 1 de febrero de nivel de seguridad IV descritas en la Norma UNE EN 1143-1, deberán siempre estar instalados en el interior del establecimiento obligado y nunca en el exterior del mismo en vía pública, al hallarse reservado su utilización y tratamiento de imágenes y sonidos en los espacios públicos a las Fuerzas y Cuerpos de Seguridad, y ello de acuerdo con las exigencias descritas en la Ley 4/97 de 4 de agosto de regulación de la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en espacios públicos y Reglamento de Desarrollo.
Este mismo artículo, respecto a los ficheros de datos de carácter personal de imágenes y sonidos captados y grabados en el interior de dicho establecimiento protegido, contempla la obligatoria adopción por parte del titular de dicho establecimiento obligado, de un sistema de protección del fichero de imágenes captadas y grabadas contra el riesgo de robo, durante el periodo de tiempo en que dicho establecimiento se encuentre abierto al público, como una medida de retardo obtenida sea por medios informáticos, físicos o electrónicos para la acceso o bloqueo de dichos ficheros de al menos diez minutos, que como bien sabemos viene descrita en el artículo 9 de la Orden 317/2011 de 1 de febrero para las cajas fuertes:
Un medio tradicional empleado para archivo y conservación de las imágenes obtenidas a través de dichos elementos o sistemas de grabación y registro de imágenes, no contemplado en la normativa de seguridad privada, es la utilización de un videograbador, conceptuándose por videograbación, de acuerdo con lo previsto en el Diccionario de la Real Academia española de la Lengua como “la grabación hecha en vídeo” y por vídeo: “aquel sistema de grabación y reproducción de imágenes acompañadas o no de sonidos mediante cinta magnética” o “aquel aparato que graba y reproduce cintas magnéticas, imágenes y sonidos procedentes de la televisión o de otro aparato de video”. En concreto, la Agencia Española de Protección Datos en su Resolución a Expediente sancionador R/00258/2008 establece expresamente sobre este particular como ejemplo de medida física de protección del soporte de imágenes cuando se emplean videograbadores:”Los soportes con las imágenes se custodian en el interior de un armario ubicado en la sala de control, teniendo acceso a ésta, exclusivamente, el personal de la empresa contratada y el Responsable de Seguridad. Así mismo, en su caso, se facilitan a las Fuerzas y Cuerpos de Seguridad y a los jueces y Tribunales de Justicia”.
Y ante el avance permanente provocado por las nuevas tecnologías en este ámbito, otro medio que igualmente, si bien no hallándose previsto expresamente en la normativa de seguridad privada, sí podría considerarse válido para el archivo y conservación de las imágenes obtenidos a través de dichos dispositivos de captación y grabación de imágenes, lo podría constituir la unidad de memoria o almacenamiento de la propia cámara o videocámara, a través de la cuál es más que evidente puede realizarse función idéntica a la del videograbador. El matiz diferencial en tal supuesto, reside en el medio empleado en el soporte de la grabación, dado que en un videograbador se trataría de una cinta magnética y en el caso presente se hace referencia a un archivo digital.
Por consiguiente, este principio de libertad de forma, otorgado al titular del establecimiento obligado, en cuanto al formato de soporte de la imagen, se ve restringido por la normativa de seguridad privada en el artículo 120.1 a) del Reglamento de Seguridad Privada y artículo 4.1 de la Orden del Ministerio de Interior 317/2011, respecto al sistema de seguridad que debe adoptar para protección del soporte frente al riesgo de robo, que por supuesto en razón a los nuevos avances tecnológicos producidos en dichos dispositivos, puede ser técnico ( a través de software o algo similar) exclusivamente en tal caso, mientras que en el supuesto en que se utilice un videograbador, el sistema de protección frente al robo, se concretará en la instalación de una medida de seguridad física tal y como se contempla en el apartado 2 del artículo citado.Eso sí en ambos casos, el sistema de protección frente al robo del soporte de imágenes, deberá contar con un dispositivo de apertura retardada para acceso a la información como mínimo de 10 minutos.
¿Y cuál es concepto de responsable de fichero y de su tratamiento conforme a la normativa de protección de datos para un adecuada comprensión del presente Dictamen?
La Ley 15/99 de Protección de Datos y su Reglamento de Desarrollo, recoge y diferencia las figuras del Responsable del fichero y del tratamiento así como de Encargado de Tratamiento.
Efectivamente, el artículo 3.d) de la LOPD, incluye en el concepto de responsable tanto al que lo es del fichero como al del tratamiento de datos personales. Así el responsable del fichero o del tratamiento es “la persona física o jurídica que decida sobre la finalidad, contenido y uso del tratamiento” o bien “persona física o jurídica, de naturaleza pública o privada, u órgano administrativo, que sólo o conjuntamente con otros decida sobre la finalidad, contenido y uso del tratamiento, aunque no lo realizase materialmente”; y por Encargado del tratamiento “quien trate datos personales por cuenta del responsable del tratamiento y del fichero”, según viene definido en el artículo 3, apartados d) y g), respectivamente, de la Ley Orgánica 15/1999.
Así pues, conforme a las definiciones dadas, el responsable del fichero y del tratamiento del soporte de imagen que debe ser protegido frente al robo de acuerdo con la normativa de seguridad privada, sin duda alguna lo es, el titular del establecimiento obligado a disponer de dicho sistema de captación y registro de imágenes.
Y entre las obligaciones que le corresponden al titular de establecimiento obligado, como responsable del fichero y de su tratamiento así como de encargado del tratamiento de dichos ficheros obtenidos durante el horario de atención al público en el interior del establecimiento sin intervención de ningún empleado se encuentra, como ya he manifestado con anterioridad, ya que dichos dispositivos de seguridad van a captar y grabar imágenes así como a archivarse en un soporte, la de notificar e inscribir el fichero resultante en el Registro General de Protección de Datos, de conformidad con lo dispuesto en el artículo 7 de la Instrucción 1/2006, que reza lo siguiente “1.-La persona o entidad que prevea la creación de ficheros de videovigilancia deberá notificarlo previamente a la Agencia Española de Protección de Datos, para su inscripción en el Registro General de la misma.(...)“.
Respecto al plazo general de conservación de las imágenes por parte del titular del establecimiento obligado ,en cuanto a los ficheros de imágenes declarados e inscritos, durante el horario de atención al público y no vinculados al proceso de verificación realizado por la Central de Alarmas cuando dicho sistema de captación y registro de imágenes actúa como elemento de verificación de señales de alarma hallándose el establecimiento cerrado al público, parece desprenderse que dicho plazo sería de 30 días, y así la Agencia Española de Protección de Datos se pronunció en su Informe Jurídico de fecha 3 de julio de 2008, en cuanto al fundamento de dicho plazo, señalando que:
“El artículo 6 de la instrucción 1/2006, donde se regula el plazo de conservación de las imágenes está íntimamente relacionado con lo dispuesto en el artículo 4.5 de la Ley Orgánica 15/1999 que señala lo siguiente “Los datos serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados.”, dicha previsión se reitera en el artículo 8.6 del Reglamento de desarrollo de la Ley Orgánica”.
Incluso la propia Agencia Española de Protección de Datos, afirmó en numerosas resoluciones e informes que el criterio contemplado del plazo máximo de UN (1) MES, no debe considerarse arbitrario, dado que se ha optado por seguir el mismo criterio que el fijado en la Ley Orgánica 4/1997, de 4 de agosto por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad del Estado en lugares públicos, que en su artículo 8 establece que: “Las grabaciones serán destruidas en el plazo máximo de un mes desde su captación”.
Por otro lado, la Instrucción de la Agencia en su artículo 6 en el mismo sentido dispone que: “Los datos serán cancelados en el plazo máximo de un mes desde su captación”, quiere esto decir que una vez transcurrido dicho plazo las imágenes deberán de ser canceladas”.
Sin embargo, en tal caso, ya que la normativa de seguridad privada contempla una excepción a este plazo general, al establecer en su artículo 120.1 a) del Reglamento de Seguridad Privada, un plazo de conservación de 15 días, la vigencia del principio o criterio de especialidad que debe regir la aplicación de las normas, la norma especial (normativa de seguridad privada) prevalece sobre la norma general (normativa de protección) de datos, debemos considerar que el plazo de conservación de las imágenes que deberán respetar todos los establecimientos obligados a adoptar medidas de seguridad específicas y no sólo las entidades bancarias, será el plazo especial de 15 días y no el plazo general de 30 días.
La Ley Orgánica de Protección de Datos de Carácter Personal, en su artículo 16.3 señala que: “la cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones Públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión”.
La propia Guía de Videovigilancia de la Agencia Española de Protección de Datos en su página 21, respecto a las medidas de seguridad en entidades financieras que después de la entrada en vigor de la Orden del Ministerio de Interior 317/2011 de 1 de febrero sobre Medidas de seguridad Privada debemos de reputar aplicable al resto de establecimientos obligados de los artículos 119 al 135 del Reglamento de Seguridad Privada, al venir obligados todos ellos, salvo el supuesto de las Farmacias, a instalar un dispositivo de captación y grabación de imágenes del artículo 120.1 a) del Reglamento, expresa literalmente:
“Las instalaciones de videovigilancia utilizadas en Bancos, Cajas de Ahorro y demás entidades de crédito están sujetas a reglas específicas. La Ley Orgánica 1/1992, de 21 febrero de Seguridad Ciudadana prevé que por razones de seguridad pública se adopten determinadas medidas, y en virtud de la autorización reglamentaria que esta Ley contiene el Reglamento de Seguridad Privada ha exigido la instalación de cámaras y videocámaras en dichos establecimientos. Así, las previsiones del Real Decreto 2364/1994, por el que se aprueba el Reglamento de Seguridad Privada, deben interpretarse en conexión con la LOPD.
Estas instalaciones son de titularidad privada siendo estas entidades responsables de las mismas. El artículo 120 del Reglamento de Seguridad Privada define peculiaridades en su régimen jurídico…
En estos ficheros, debido a las anteriores restricciones, el derecho de acceso de los afectados no es posible, sin perjuicio de que quepa invocar en su caso la tutela de la Agencia Española de Protección de Datos.
La cancelación se produce transcurridos quince días desde la grabación, salvo que hubiesen dispuesto lo contrario las autoridades judiciales o las Fuerzas y Cuerpos de Seguridad competentes.
En lo no específicamente previsto por el Reglamento de Seguridad Privada se aplicará el régimen de la LOPD y de la Instrucción 1/2006”.
Por supuesto que no debemos olvidar, que el titular del establecimiento obligado debe garantizar el derecho de información de sus trabajadores y de los terceros que accedan a su local protegido, en la captación y grabación de imágenes, mediante colocación del cartel o rotulo anunciador de zona videovigilada, y el impreso establecido por la Instrucción 1/2006 de acuerdo con su artículo 3 y así como del artículo 5 de la Ley 15/99.
En relación a dicho deber de información que corresponde al establecimiento obligado, debemos resaltar la referencia efectuada por el artículo 120.1 f del Reglamento de Seguridad Privada al mencionar como obligación que corresponde al establecimiento obligado respecto al deber de información aludido: “la instalación de carteles del tamaño que se determine por el Ministerio de Justicia e Interior u otros sistemas de información de análoga eficacia con referencia expresa.., y en su caso, al sistema permanente de captación de imágenes”. Indicar a los efectos informativos oportunos, que dado que la Instrucción 1/2006 de la Agencia es posterior en el tiempo al mencionado artículo del Reglamento de Seguridad Privada, debo considerar que el rótulo que debiera instalar dicho establecimiento es el previsto en dicha Instrucción y no uno específico como sistema permanente de grabación de imágenes cuyo modelo o formato nunca ha sido determinado por el Ministerio de Interior.
¿Y qué tratamiento a nivel de normativa de protección de Datos, hemos de dar al supuesto en que el sistema de captación y grabación de imágenes actúe como un elemento de seguridad y verificación por video del artículo 48.2 del Reglamento de Seguridad Privada así como del artículo 8 de la orden del Ministerio de Interior 316/2011 de 1 de febrero sobre funcionamiento de los sistemas, durante el periodo de tiempo en que el establecimiento se encuentra cerrado o incluso abierto pero se produce una activación del sistema de seguridad homologado conectado a Central de Alarmas?
El Informe Jurídico 360/2009 de la Agencia Española de Protección de Datos aborda por primera vez la distinción aludida en este Dictamen, en relación a los dos situaciones posibles surgidas en la prestación de servicios de seguridad privada, tal como la utilización de sistemas de captación y grabación de imágenes en ámbitos privados, y particularmente en relación a quien ostenta la condición del Responsable y Encargado del fichero, que paso a reproducir literalmente a continuación:
“La implementación de sistemas de videovigilancia puede dar lugar a distintos tipos de prestación: Una empresa externa (añado de seguridad) puede prestar servicios consistentes en:
-Instalación y/o mantenimiento técnico de los equipos y sistemas de videovigilancia sin acceso a las imágenes:
En este caso la empresa de seguridad no posee la condición de encargado de tratamiento correspondiendo al responsable, que la contrató, la adaptación de la instalación a los requisitos normativos. Ello, sin perjuicio de la eventual responsabilidad de la empresa por incumplir el deber de asesoramiento previsto en el artículo 5 LSP. Ej. La simple instalación técnica de las cámaras y los equipos de grabación por una empresa de seguridad que actúa como instalador autorizado contratado por una comunidad de propietarios limitándose a tareas puramente técnicas que no comporten acceso a las imágenes.
-Instalación y/o mantenimiento de los equipos y sistemas de videovigilancia con utilización de los equipos o acceso a las imágenes.
Únicamente en este segundo caso, la empresa de seguridad será considerada encargada del tratamiento y la obligatoriedad de cumplir con las obligaciones de lo dispuesto por el artículo 12 LOPD. Ej. Las empresas de seguridad que prestan servicios combinados de central de alarmas y videovigilancia de modo que cuando se activa la alarma se comprueban directamente las imágenes por el personal de la empresa de seguridad.”
Pues bien, de lo expuesto en dicho Informe, debo afirmar como criterio interpretativo en lo que la conceptuación de quienes son Responsables frente a la normativa de protección de datos, lo siguiente:
En caso de tratarse de un sistema (elemento) de captación y grabación de imágenes instalado por una Empresa de Seguridad homologada, el tratamiento de datos efectuado durante el plazo en que no se halle conectado a una Central de Alarmas de una Empresa de Seguridad, tal y como viene expresado en el artículo 120.1 a) del Reglamento de Seguridad Privada, supone que el titular de dicho establecimiento obligado a adoptar medidas de seguridad específicas por la normativa de seguridad privada (entre ellas el sistema de captación y grabación de imágenes con esta característica técnica), asumirá la condición de responsable del fichero de imagen y de su tratamiento.
En caso de tratarse de un sistema (elemento) de captación y grabación de imágenes) instalado por una Empresa de Seguridad homologada que además como elemento de protección electrónica, forma parte integrante de un sistema de seguridad homologado del artículo 23 y 24 de la Orden 314/2011 sobre Empresas de seguridad privada, conectado a la Central de Alarmas de una Empresa de Seguridad, cumpliendo su finalidad de medio técnico de verificación de las señales de alarma por imagen, para determinar mediante su visualización por parte de un operador de una Central, la realidad de un salto de alarma detectado por dicho sistema de seguridad instalado en el ámbito privado objeto de protección, al concurrir la necesaria prestación de un servicio de seguridad privada al titular de dicho establecimiento comercial obligado a adoptar medidas de seguridad electrónica específicas (entre ellas disponer de un elemento de captación y grabación de imágenes con la doble finalidad antes aludida), y la comunicación en caso de identificarse a través de dicho medio técnico entre otros, la confirmación de la señal de alarma real, a una Sala de Operaciones Policial durante un plazo de 5 segundos como mínimo, para garantizar una intervención policial justificada; el titular de dicho establecimiento contratante de un servicio de conexión a Central de Alarmas, asume la condición de responsable del fichero y de su tratamiento mientras que la Central de Alarmas de la Empresa de Seguridad ostentará la condición de encargado del tratamiento, quedando regulado dicho tratamiento de datos del artículo 12 de la Ley 15/99 de Protección de Datos de Carácter personal mediante firma por ambas partes del contrato de servicios de seguridad del artículo 6 de la Ley 23/92 de Seguridad Privada y artículo 20 del Reglamento de Seguridad Privada.
Nota importante: Para aquellos ámbitos domiciliarios en que pudieran desarrollarse actividades de tratamiento de datos personales de uso y consumo doméstico, por su titulares, a través de dispositivos de captación y grabación de imágenes, entiendo no resulta aplicable la normativa de protección de Datos conforme a lo dispuesto en la Instrucción 1/2006 de la Agencia , siendo criterio unánimamente admitido, con el cuál coincido plenamente, que para el supuesto en que el titular de dicho domicilio decidiera voluntariamente contratar un servicio de seguridad privada concretamente de explotación a través de central de Alarmas y de instalación y mantenimiento de un sistema de seguridad homologado conectado, incluyendo un elemento de captación y grabación de imágenes con fines de vigilancia y protección en ámbito privado, la Empresa de seguridad homologada para la actividad de Central de Alarmas, adquiere la condición de responsable del fichero de gestión de sistemas de videovigilancia con acceso a las imágenes de sus clientes, dado que no resulta aplicable la excepción del artículo 2.a de la Ley Orgánica 15/1999, antes mencionada.
Conclusiones finales
Los sistemas de seguridad susceptibles de generar una intervención policial incluido el elemento de captación y grabación de imágenes, instalados por las Empresas de Seguridad homologadas a los titulares de los establecimientos tasados en los artículos 119 a 135 del Reglamento de Seguridad Privada, para garantizar su eficacia y eficiencia preventiva frente al delito, evitando molestias o daños a terceros, habrán de cumplir, de acuerdo con el artículo 2.1 c de la Orden 316/2011 de 1 de febrero sobre funcionamiento de sistemas de alarma en el ámbito de la seguridad privada, un nivel de seguridad o de resistencia frente a un ataque contra la propiedad o las personas, por razón del riesgo que pueda afectar a dichos establecimientos que será siempre de grado 3: “para todos aquellos establecimientos obligados a disponer de medidas de seguridad así como aquellas otras instalaciones comerciales o industriales a las que por su actividad u otras circunstancias se les exija disponer de conexión a central de alarmas, en su caso a un centro de control.
Por consiguiente, los titulares de dichos establecimientos obligados, salvo en el supuesto de las Farmacias por no estar obligadas a disponer de una caja fuerte, de acuerdo con la Disposición Adicional primera de la Orden 317/2011, deberán contratar servicios de seguridad privada tal y como la instalación y el mantenimiento de un sistema de seguridad electrónico homologado de nivel de seguridad ya referido ( artículo 2 de la Orden del Ministerio de Interior 316/2011 y artículos 23 y 24 de la Orden del Ministerio de Interior 314/2011) compuesto de tres elementos de detección como mínimo, así como de un elemento de verificación por video (elemento de captación y grabación de imágenes), que deberá hallarse conectado a una Central de Alarmas de una Empresa de Seguridad sea de uso propio o ajeno, con una Empresa de Seguridad homologada, en las condiciones y con las finalidades legítimas habilitadas legalmente, previstas en la normativa de Seguridad Privada.
El elemento de protección denominado de captación y grabación de imágenes, habrá de funcionar además autónomamente, sin intervención de la Central de Alarmas de Empresa de Seguridad, sea de uso propio o ajeno, bajo responsabilidad del titular del establecimiento, realizando un tratamiento de datos de carácter personal (responsable del fichero y de su tratamiento), durante el plazo de tiempo en que el local esté abierto al público, captando, grabando y archivando imágenes de los autores de delitos contra las personas o la propiedad cometidos en dichos establecimientos, para identificación de los mismos, a disposición exclusiva de las autoridades judiciales y de las dependencias de las Fuerzas y Cuerpos de Seguridad, conservándose durante un plazo mínimo de 15 días desde que fueron captadas y grabadas las mismas, de acuerdo con las condiciones previstas en la Ley 15/99 de 13 de diciembre de Protección de Datos de Carácter Personal, su RD 1720/2007 de 21 de diciembre de desarrollo de la Ley 15/99 ya citada, y específicamente la
Instrucción 1/2006 de 08 de noviembre sobre tratamiento de datos de carácter personal con fines de vigilancia a través de cámaras o videocámaras.
En cuanto a la definición de medio o soporte para archivo de dichas imágenes ya mencionado en el presente estudio, vuelvo a reiterar que en modo alguno es competencia de normativa de seguridad privada su regulación, y sí por el contrario corresponde a la normativa de protección de datos aplicable, el establecimiento de las medidas de seguridad (documento de seguridad) aplicables para protección de dichos datos de carácter personal.
Y para que así conste, y surta los oportunos efectos privados,
En Madrid a 14 de mayo de 2.012
