Ya la Disposición Adicional Novena de la Ley Orgánica, 4/1997, de 4 de agosto, de utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos (LO 4/1997), contenía un mandato por el que el Gobierno debía elaborar en el plazo de un año, es decir agosto de 1998, la normativa correspondiente para adaptar los principios inspiradores de dicha norma al ámbito de la seguridad privada.

En ese momento la explotación que se hacía en el ámbito privado de los servicios de videovigilancia era muy limitada, debido fundamentalmente a los costes asociados a la instalación de este tipo de sistemas. Cuando a mediados de la primera década de nuestro siglo se dispara su uso debido al abaratamiento de la tecnología que la hace asequible para cualquier negocio o particular, además de a los avances en telecomunicaciones que permiten el acceso a las imágenes desde cualquier dispositivo y lugar, nos encontramos que ni la Ley 23/1992, de 30 de julio, de Seguridad Privada, ni su Reglamento de desarrollo, contienen aún, a pesar del tiempo transcurrido, una regulación específica sobre videovigilancia.

Debido a las implicaciones que la videovigilancia tiene en materia de protección de datos de carácter personal, tuvo que ser esta normativa a través de distintas Instrucciones de las autoridades de control españolas, la que, de alguna forma, ha llegado a establecer un marco jurídico aplicable a este tipo de servicios con el fin de evitar una videovigilancia indiscriminada y omnipresente.

Hemos tenido que esperar a la publicación de la nueva Ley 5/2014, de 4 de abril, de Seguridad Privada (LSP), que entra en vigor a los dos meses de su publicación en el BOE, para obtener una respuesta a esta demanda dando especial relevancia a dicha regulación al entender que este tipo de servicios potencialmente pueden incidir de forma directa en la esfera de la intimidad de los ciudadanos, así como para dar cumplimiento al mandato contenido en la LO 4/1997.

Debemos recordar desde un principio que, tenga la consideración o no la videovigilancia de servicio de seguridad privada, sí será un tratamiento de datos de carácter personal si se produce la grabación, captación, transmisión, conservación y/o almacenamiento de imágenes de personas identificadas o identificables, incluida su reproducción o emisión en tiempo real. Sin embargo el que se cumplan los requisitos establecidos en la LSP, cuando esta sea aplicable, será determinante para la legitimación del tratamiento.

La nueva regulación da continuidad a lo ya establecido por la Ley 25/2009, de 22 de diciembre, de modificación de diversas leyes para su adaptación a la Ley sobre el libre acceso a las actividades de servicios y su ejercicio, conocida como Ley Ómnibus. Así, el artículo 5 de la LSP, recoge entre las contempladas como actividades de seguridad privada, la instalación y mantenimiento de aparatos, equipos, dispositivos y sistemas de seguridad conectados a centrales receptoras de alarmas o a centros de control o de videovigilancia, considerando como actividades complementarias la fabricación, comercialización, venta o entrega de equipos técnicos de seguridad electrónica, así como la instalación o mantenimiento de dicho equipos siempre que no estén conectados a centrales de alarma o centros de control o de videovigilancia. De esta forma, los prestadores de este tipo de servicios que no realicen otras actividades de seguridad privada quedarían fuera del ámbito de aplicación de la ley según el artículo 6.4, y cuando sean empresas de seguridad privada solo se encontrarían sujetas a la LSP en cuanto a las actividades y servicios de seguridad privada para las que se encontrasen autorizadas o hubiesen presentado la correspondiente declaración responsable.

Esto último viene a corregir las mayores exigencias a las que estaba sujeta una empresa de seguridad privada por el hecho de serlo al prestar los servicios comentados, cuando para otras empresas no les era de aplicación la LSP si no llegaban a realizar además actividades recogidas en el catálogo de actividades de seguridad privada.

Es decir se mantiene la necesidad de que sean empresas de seguridad privada, sometidas a los principios de actuación recogidos en el artículo 30 de la LSP, las que realicen la instalación y mantenimiento de sistemas de videovigilancia cuando estén conectados a centrales de alarmas o centros de control o de videovigilancia, de otra forma, no solo infringirían la LSP sino que dichas empresas y los responsables de ficheros para quienes prestasen el servicio, estarían realizando un tratamiento de datos de carácter personal sin legitimación.

Las empresas de seguridad privada además deberán estar convenientemente autorizadas o haber presentado declaración responsable, estar inscritas en el Registro correspondiente y el contrato de prestación del servicio deberá celebrarse por escrito comunicándose su celebración al Ministerio del Interior o, en su caso, al órgano autonómico correspondiente con antelación a la iniciación del mismo, según lo que se determine reglamentariamente. Todo esto también ha sido valorado hasta ahora por la AEPD a efectos de legitimación para el tratamiento.

Por otra parte se contempla la posibilidad de que una entidad pública o privada constituya su propia central receptora de alarmas para gestionar la seguridad de sus propios bienes y sin la posibilidad de prestar servicios a terceros, pero en ese caso para actuar conforme a la LSP y que el tratamiento esté legitimado, deberá obtener la autorización del Ministerio del Interior o el órgano autonómico competente. Y por otro lado la propia LSP, y otras normas sectoriales, establecen la obligación de implantar sistemas de videovigilancia cuando se den una serie de circunstancias.

Fuera de estos supuestos, entendemos que no es suficiente con que la LSP permita a cualquier empresa realizar la instalación de un sistema de videovigilancia, para que el usuario del mismo esté automáticamente legitimado a realizar el tratamiento de datos correspondiente, como parecía sugerirse cuando se publicó la Ley Ómnibus. Habrá que considerar a la hora de instalar un sistema de este tipo, la aplicación directa del artículo 7f de la Directiva 95/46/CE[1] y valorar en qué casos la existencia de un interés legítimo, como es el mantenimiento de la seguridad, prevalece sobre el interés o los derechos y libertades fundamentales de los afectados, siempre y cuando se respeten las garantías establecidas en la Instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos (AEPD), sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras.

A este respecto tenemos que tener en cuenta también la definición que hace el artículo 42 de la LSP del servicio de videovigilancia, como el ejercicio de la vigilancia a través de sistemas de cámaras o videocámaras, fijas o móviles, capaces de captar y grabar imágenes y sonidos, incluido cualquier medio técnico o sistema que permita los mismos tratamientos que estas.

Especifica dicho artículo que tanto la monitorización, grabación y tratamiento como el registro de imágenes y sonidos, están sometidos a la normativa de protección de datos, y remite especialmente a sus principios de proporcionalidad, idoneidad e intervención mínima, los cuales se ajustan mejor a lo establecido en la LO 4/1997, cuyo artículo 6.1 considera la idoneidad y la intervención mínima como dos vertientes de la proporcionalidad. Por tanto, todo servicio de videovigilancia sujeto a la LSP tendrá que respetar lo siguiente:

• • En cuanto al principio de idoneidad, si trasladamos lo establecido como tal en la LO 4/1997, solo se podrán utilizar videocámaras cuando resulte adecuado, en una situación concreta, para la protección de personas y bienes. Según el Tribunal Constitucional [2] cuando deba aplicarse una medida restrictiva de derechos fundamentales se deberá constatar si cumple una serie de requisitos entre los que se encuentra la idoneidad de la medida, que se considerará idónea si es susceptible de conseguir el objetivo propuesto.
• • Respecto a la intervención mínima o necesidad, según el artículo 4 de la Instrucción 1/2006, solo se considerará admisible la instalación de cámaras o videocámaras cuando la finalidad de vigilancia no pueda obtenerse mediante otros medios que, sin exigir esfuerzos desproporcionados, resulten menos intrusivos para la intimidad de las personas y para su derecho a la protección de datos de carácter personal. En palabras del Tribunal Constitucional, que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia.
• • La proporcionalidad en sentido estricto exigiría, según el Tribunal Constitucional, la ponderación, en cada caso, entre la finalidad pretendida y los beneficios y ventajas que esta supone para el interés general y la posible afectación o perjuicios por la utilización de la videocámara sobre otros bienes o valores en conflicto. Esto es considerado por la LO 4/1997 como principio de intervención mínima.

En relación con los lugares donde se puede implantar un sistema de videovigilancia se establecen en el citado artículo 42 de la LSP una serie de limitaciones:

• • El consentimiento del interesado cuando la toma de imágenes y sonidos se realice en domicilios.
• • Autorización administrativa cuando la toma de imágenes y sonidos se realice en vías y espacios públicos o de acceso público, salvo:
1. Lo establecido en la normativa específica en cada caso.
2. Que la medida sea obligatoria.
3. Se trate de sistemas de recepción, verificación y, en su caso, respuesta y transmisión de alarmas.
A estos supuestos debemos añadir que se trate de imágenes del espacio público que resulte imprescindible obtener para la finalidad de la vigilancia cuando no se pueda modificar la ubicación de las cámaras, según el artículo 4 de la Instrucción 1/2006.

Todo sistema de videovigilancia instalado de acuerdo con la LSP tendrá que responder a una única finalidad de seguridad, teniendo como objeto la Ley la prestación de servicios para la protección de personas y de bienes. Así, el artículo 42 de la LSP establece igualmente la imposibilidad del uso de las grabaciones para un uso distinto de su finalidad.

Por otra parte dentro del objeto amplio de la seguridad las medidas pueden tener, en términos generales, una finalidad preventiva, de detección o correctiva. De esta forma, la finalidad con la que sea instalado el sistema y el objeto principal de comprobación al que responde la vigilancia serán los que determinen, según la nueva Ley, si es necesario que el servicio sea prestado por vigilantes de seguridad o guardas rurales, o no. Esto será así cuando la finalidad sea:

a) Prevenir infracciones

b) Evitar daños a las personas objeto de protección

c) Evitar daños a los bienes objeto de protección

d) Impedir accesos no autorizados

Parece desprenderse de la anterior relación, que será necesaria la intervención de vigilantes de seguridad cuando el sistema de videovigilancia tenga una finalidad preventiva, y no lo será a contrario sensu cuando únicamente se produzca la grabación de imágenes que puedan ser recuperadas para la investigación de un incidente una vez que este ya se ha producido. Puede entenderse por tanto que un servicio de monitorización o visionado en tiempo real, por ejemplo el visionado de imágenes en una comunidad de vecinos únicamente cuando es prestado por personal de seguridad puede tener como finalidad la intervención inmediata en un incidente de seguridad con carácter preventivo.

Sin embargo hay que tener en cuenta también los supuestos en que la utilización de cámaras o videocámaras, según el propio artículo 42 de la LSP, no tienen la consideración de servicio de videovigilancia a los efectos de esta Ley y que por tanto podrán realizarse por personal distinto del de seguridad privada. Serán aquellos cuyo objeto principal sea:

a) la comprobación del estado de instalaciones

b) la comprobación del estado de bienes

c) el control de accesos a aparcamientos y garajes

d) las actividades que se desarrollan desde los centros de control y otros puntos, zonas o áreas de las autopistas de peaje.

En este caso un servicio de monitorización o visionado en tiempo real por parte de un conserje en una comunidad de vecinos se deberá limitar a verificar que las instalaciones y los bienes de la comunidad funcionan bien o se encuentran en buen estado, así como controlar el acceso al garaje de la comunidad.

En todo caso a este tipo de servicios les será igualmente de aplicación la normativa de protección de datos, por lo que, aunque el visionado no sea realizado por personal de seguridad, deberá estar restringido a las personas autorizadas.

Tampoco debemos olvidar los tratamientos llevados a cabo a partir de sistemas instalados por otro tipo de empresas no sujetas a la LSP. Las empresas que prestan servicios relacionados con la videovigilancia pueden tener respecto a los tratamientos de datos realizados, contratados por empresas y administraciones públicas responsables de ficheros, la condición de encargadas del tratamiento. Podrán ser por tanto encargadas del tratamiento:

• • Las empresas de seguridad privada que presten el servicio de conexión a centrales receptoras de alarmas o a centros de control o de videovigilancia.
• • Las empresas que realicen la instalación y mantenimiento del sistema de videovigilancia siempre que suponga un acceso a las imágenes, sean o no empresas de seguridad privada. Si el sistema va a estar conectado a una central receptora de alarmas o a centros de control o de videovigilancia será necesario que la instalación y el mantenimiento sea realizado por empresas de seguridad privada, pero en otro caso no. La empresa encargada del mantenimiento podrá realizar un tratamiento de datos porque se encargue del almacenamiento de las grabaciones, porque el acceso sea necesario durante las labores de mantenimiento, o bien porque recupere las grabaciones en caso de incidente.
• • Las empresas de seguridad privada que presten servicios de videovigilacia con la finalidad de prevenir infracciones, evitar daños a las personas objeto de protección, evitar daños a los bienes objeto de protección o impedir acceso no autorizados.
• • Las empresas que presten servicios cuyo objeto sea la comprobación del estado de instalaciones o bienes, el control de accesos a aparcamientos y garajes, las actividades que se desarrollan desde los centros de control y otros puntos, zonas o áreas de las autopistas de peaje.

Dado que el responsable del fichero debe desplegar la diligencia suficiente para verificar que el encargado del tratamiento ofrece suficientes garantías de cumplimiento de la normativa de protección de datos, a la hora de valorar la contratación de uno u otro proveedor, si se trata de empresas de seguridad privada, el hecho de que el Registro nacional o autonómico correspondiente sea de consulta pública, permitirá comprobar que la empresa se encuentra convenientemente inscrita.

En cuanto a la posibilidad de ceder las imágenes captadas por sistemas de videovigilancia, el artículo 8.4 de la LSP establece una prohibición general para las empresas, los despachos y el personal de seguridad privada de comunicar a terceros, salvo a las autoridades judiciales y policiales para el ejercicio de sus respectivas funciones, cualquier información que conozcan en el desarrollo de sus servicios y funciones sobre sus clientes o personas relacionadas con estos, así como sobre los bienes y efectos de cuya seguridad o investigación estuvieran encargados.

Por su parte el artículo 15 sobre acceso a la información por las Fuerzas y Cuerpos de Seguridad, si bien establece la sujeción a la normativa de protección de datos de carácter personal de los tratamientos y ficheros, automatizados o no, creados para el cumplimiento de la LSP, indica que estarán autorizadas las cesiones de datos que se consideren necesarias para contribuir a la salvaguarda de la seguridad ciudadana, así como el acceso por parte de las Fuerzas y Cuerpos de Seguridad a los sistemas instalados por las empresas de seguridad privada que permitan la comprobación de las informaciones en tiempo real cuando ello sea necesario para la prevención de un peligro real para la seguridad pública o para la represión de infracciones penales. ¿Basta con la habilitación legal o deberán estas solicitudes realizarse por escrito?

¿Qué pasa si el sistema de videovigilancia no lo gestiona una empresa de seguridad privada? El responsable del fichero puede, en supuestos en que los datos resulten necesarios para la prevención de un peligro real para la seguridad pública o para la represión de infracciones penales, facilitar datos a las Fuerzas y Cuerpos de Seguridad, puesto que estas no necesitan para dicho tratamiento el consentimiento de los interesados, tal y como establece el artículo 22.2 de la LOPD. Para ello, según interpretación de las autoridades de control, la solicitud deberá realizarse por escrito de forma motivada, pero ¿y si en estos casos se requiere el visionado en tiempo real? ¿deberá ser subsanado ese acceso urgente previsiblemente sin petición escrita con una formalización posterior?

Además el artículo 42 referido expresamente a los servicios de videovigilancia, en su apartado 4 establece que cuando las grabaciones se encuentren relacionadas con hechos delictivos o que afecten a la seguridad ciudadana, se aportarán, de propia iniciativa o a su requerimiento, a las Fuerzas y Cuerpos de Seguridad competentes. En este caso hace expresa mención a la necesidad de respetar la cadena de custodia estableciendo una obligación expresa de aplicación de técnicas de informática forense, de forma que las imágenes obtenidas sean válidas para su aportación como evidencia o prueba en investigaciones policiales o judiciales.

Dicho artículo termina con un apartado de cierre en el que remite a la normativa sobre videovigilancia por parte de las Fuerzas y Cuerpos de Seguridad en lo no previsto en el LSP. Dado que la LO 4/1997 presenta algunas diferencias en cuanto a lo establecido en la Instrucción 1/2006 que a su vez es de aplicación subsidiaria en lo no establecido por la Ley, deberá aplicarse cuando los servicios de videovigilancia estén sujetos a la LSP dicha norma, en lo no previsto se aplicará la LO 4/1997 y residualmente la LOPD según la interpretación recogida por la Instrucción 1/2006.

Por último queremos hacer mención a una obligación que les había sido asignada a las empresas de seguridad privada en tanto asesoras en materia de protección de datos por el hecho de prestar servicios relacionados con la videovigilancia. La LSP elimina entre las actividades de seguridad contempladas en la derogada Ley 23/1992, las de planificación y asesoramiento, que pasan a ser actividades compatibles. Así, el artículo 6 de la nueva Ley indica que podrán ser desarrolladas por empresas de seguridad privada, la planificación, consultoría y asesoramiento en materia de actividades de seguridad privada, que consistirá en la elaboración de estudios e informes de seguridad, análisis de riesgos y planes de seguridad referidos a la protección frente a todo tipo de riesgos, así como en auditorías sobre la prestación de los servicios de seguridad.

Con la redacción anterior las empresas de seguridad privada podían desarrollar estas actividades de asesoramiento, entre otras, puesto que no era obligatorio desarrollar conjuntamente todos y cada uno de los servicios contemplados en el artículo 5 de la antigua Ley, para tener tal consideración. Sin embargo la AEPD hacía mención a dicha actividad para entender que las empresas de seguridad privada contaban con un deber de asesoramiento en materia de protección de datos, con el que sin embargo no contaban aquellos prestadores de servicios o filiales de empresas de seguridad privada que no teniendo tal condición, se dedicasen a la venta, entrega, instalación o mantenimiento de equipos técnicos de seguridad, siempre que no incluyesen la prestación de servicios de conexión con centrales de alarma, por no estar sujetas a la Ley. Al establecerse ahora como actividad complementaria entendemos que deberá cambiar la argumentación relativa a esta obligación que puede responder a otras exigencias de la norma pero no precisamente a la posibilidad de prestar dichos servicios.

[1] El artículo 7f) de la DIRECTIVA 95/46/CE DEL PARLAMENTO EUROPEO Y DEL CONSEJO, de 24 de octubre de 1995, relativa a la Protección de las Personas Físicas en lo que respecta al Tratamiento de Datos Personales y a la libre circulación de estos datos establece que, los Estados miembros dispondrán que el tratamiento de datos personales sólo pueda efectuarse si: ... f) es necesario para la satisfacción del interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos, siempre que no prevalezca el interés o los derechos y libertades fundamentales del interesado que requieran protección con arreglo al apartado 1 del artículo 1 de la presente Directiva (en particular, del derecho a la intimidad, en lo que respecta al tratamiento de los datos personales)

[2] STC 207/1996