10 Ortuno P234 P280 QDL 49
10 Ortuno P234 P280 QDL 49
10 Ortuno P234 P280 QDL 49
constitucional en
relación con el
control
mediante cámaras
de videovigilancia
1. Introducción
2. Concepto de datos de carácter personal y sus sujetos
3. Marco normativo interno a tener en cuenta en la utilización de cámaras
de videovigilancia y el tratamiento de los datos obtenidos
4. El Reglamento europeo 2016/679 y el Proyecto de Ley Orgánica que lo
desarrolla
5. La videovigilancia, el derecho fundamental a la intimidad y a la propia
imagen
5.1. La videovigilancia y el derecho fundamental a la intimidad
5.2. La videovigilancia en relación con el derecho a la propia imagen
6. Jurisprudencia del Tribunal Constitucional, del Tribunal de Justicia de la
Unión Europea y del Tribunal Europeo de Derechos Humanos
7. Algunas sentencias de los tribunales superiores de justicia, Audiencia
Nacional y Tribunal Supremo
8. Bibliografía
Resumen
Abstract
The article studies the rules and case law over the control by surveil-
lance cameras and its use potentially in breach of fundamental rights
enshrined in Article 18 of the Spanish Constitution (right to honour, pri-
vacy, own image, protection of home, secrecy of communications and
personal data protection); as well as human dignity and equivalent
rights protected by the European mechanisms of protection of human
rights. The article pays especial attention to the case law of the Span-
ish Constitutional Court, the European Court of Human Rights and the
Court of Justice of the European Union.
1
Introducción
En la sociedad del siglo XXI las nuevas tecnologías afectan a todos los ámbi-
tos que guardan relación con la vida diaria de sus ciudadanos. Evidentemente,
esta constante inmersión tecnológica plantea, de forma inevitable, una serie
de cuestiones jurídico-constitucionales que requieren una solución o respues-
ISSN: 1696-0955, febrero de 2019, págs. 234 - 280 235
Alicia Esther Ortuño Rodríguez
2
Concepto de datos de carácter personal y sus sujetos
En primer lugar, hay que tener en cuenta que la instalación y el uso de sis-
temas de videovigilancia implican un tratamiento de datos pertenecientes a
la intimidad y privacidad de las personas. En este sentido, el art. 3 de la Ley
Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carác-
ter Personal (LOPD) define el concepto de dato personal como «cualquier
información concerniente a personas físicas identificadas o identificables».
Esta definición ha sido completada por el Reglamento de desarrollo de la
LOPD, aprobado por Real Decreto 1720/2007, de 21 de diciembre, que lo
define en su art. 5.1 f) como «cualquier información numérica, alfabética,
gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas
físicas identificadas o identificables».
Sin duda alguna, la imagen -y el sonido- que se registra a través de los
sistemas de videovigilancia constituye información que identifica a perso-
nas físicas, por lo que resultan de plena aplicación tales conjuntos normati-
vos. Ahora bien, sus preceptos deben interpretarse a la luz del Reglamento
2016/679 a partir del 25 de mayo de 2018, entendiéndose derogados en cuanto
se opongan al mismo y supletoriamente complementados por la citada norma
de la Unión Europea en los aspectos no regulados en la normativa nacional.
Por otro lado, la Directiva 95/46/CE del Parlamento Europeo y del Con-
sejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas
en lo que respecta al tratamiento de datos personales y a la libre circulación
de estos datos, definía el concepto de «dato personal» en su art. 2 a) como
«toda información sobre una persona física identificada o identificable (el
“interesado”); se considerará identificable toda persona cuya identidad pueda
determinarse, directa o indirectamente, en particular mediante un número de
identificación o uno o varios elementos específicos, característicos de su iden-
tidad física, fisiológica, psíquica, económica, cultural o social».
Además, en su Considerando 14 reconocía expresamente su aplicación
a los tratamientos de datos realizados por sistemas de captación de imágenes,
al señalar que «Considerando que, habida cuenta de la importancia que, en
el marco de la sociedad de la información, reviste el actual desarrollo de las
técnicas para captar, transmitir, manejar, registrar, conservar o comunicar los
datos relativos a las personas físicas constituidos por sonido e imagen, la
presente Directiva habrá de aplicarse a los tratamientos que afectan a dichos
datos».
Y el directamente aplicable Reglamento General de Protección de Datos
(RGPD) UE-2016/679, de forma correlativa, también recoge una definición
que pueden ser todo lo intensos que se estime conveniente para el logro
del objetivo de la seguridad pública, cuya tutela corresponde al Estado
(STC 175/1999, FFJJ 6 y 7).
4
El Reglamento europeo 2016/679 y el Proyecto de Ley Orgánica que lo
desarrolla
que en España dicho límite continúa en 14 años, siendo necesario por debajo
de dicha edad el consentimiento de los padres o tutores.
- Derechos del interesado: A la regulación ya conocida de los derechos
ARCO (Acceso, Rectificación, Cancelación y Oposición) del interesado, se
le añaden nuevos derechos:
a. Transparencia: la información que el responsable facilite al interesado
para solicitar su consentimiento al tratamiento de sus datos debe ser concisa,
transparente, inteligible, de fácil acceso y con un lenguaje claro y sencillo,
especialmente la dirigida específicamente a niños. b. Derecho al olvido: se
regula como contenido del derecho a la supresión (antes cancelación de los
datos), cuando concurran determinadas circunstancias, contemplando entre
otros límites a dicho derecho la libertad de expresión y el derecho a la in-
formación. c. Derecho a la limitación del tratamiento: previsto para deter-
minadas situaciones en las cuales cabe limitar la finalidad del tratamiento. d.
Portabilidad de los datos: se concreta en la libre recuperación y/o transmisión
de los datos tratados por medios automatizados, en un formato estructurado,
de uso común y lectura mecánica.
- Derecho a la información: Con el RGPD, la información que el respon-
sable debe facilitar al interesado en el momento de la recogida de sus datos
se ve considerablemente ampliada (también cuando los datos no se obtengan
del interesado).
- Responsabilidad del responsable del tratamiento (responsabilidad
proactiva): El responsable debe aplicar medidas técnicas y organizativas
apropiadas para garantizar y poder demostrar que el tratamiento es conforme
al RGPD. Para probar dicho cumplimiento podrá utilizarse la adhesión a có-
digos de conducta o a un mecanismo de certificación.
- Protección de datos desde el diseño y por defecto: El RGPD introduce
2 nuevos conceptos en el capítulo relativo a las obligaciones del responsable:
a. Privacidad desde el diseño: supone que el responsable debe considerar la
protección de datos desde el momento inicial en que concibe un proceso que
implica tratamiento de datos. b. Privacidad por defecto: el responsable debe
adoptar medidas que garanticen que, por defecto, solo tratará los datos que
sean necesarios en relación con los fines del tratamiento.
- Registro de actividades de tratamiento versus inscripción de ficheros:
El RGPD abandona el enfoque formalista que obligaba a comunicar/inscribir
los ficheros ante las autoridades de control. No obstante, en su lugar contem-
pla el deber de los responsables y encargados de llevar un registro escrito de
sus actividades de tratamiento, si bien se exceptúan de dicha obligación las
empresas con menos de 250 empleados (salvo si los tratamientos realizados
gran escala; o (c) cuando se traten categorías especiales de datos a gran escala
y datos relativos a condenas e infracciones penales.
- Códigos de conducta y certificación: El RGPD sigue promoviendo la
elaboración de códigos de conducta para contribuir a la correcta aplicación
de sus disposiciones en sectores concretos de actividad, en función de las
especificidades de sus tratamientos. Como novedad, se promueve igualmente
la creación de mecanismos de certificación y de sellos y marcas de protección
de datos, para demostrar el cumplimiento de la normativa en los tratamientos
de datos que realicen responsables y encargados del tratamiento.
Por tanto, los responsables y encargados podrán someterse voluntaria-
mente a la evaluación de los denominados organismos de certificación, los
cuales, a su vez, deberán ser acreditados para dicha función por la autoridad
de control.
- Régimen sancionador: Destacan dos aspectos en cuanto a la imposición
de sanciones por el incumplimiento del RGPD: a. Aumenta significativamen-
te el límite máximo de las multas por incumplimiento del RGPD, pudiendo
alcanzar en función de las infracciones un importe máximo de 20 000 000 de
euros o, en el caso de empresas, una cuantía equivalente al 4 % del volumen
de negocio total anual, optándose por la de mayor cuantía. b. El RGPD deja
a criterio de los Estados miembros la posibilidad de regular la imposición de
multas a las autoridades y organismos públicos (la cual no ha sido acogida en
el Proyecto de Ley Orgánica de Protección de Datos Personales).
- Situaciones específicas de tratamiento: El Capítulo IX del RGPD con-
templa determinadas situaciones o áreas en las que puede ser necesario apro-
bar normas adicionales por los Estados miembros que establezcan garantías
específicas y/o excepciones/exenciones a la regulación común de protección
de datos. Entre otros, se prevé: a. que los Estados miembros concilien por ley
el derecho a la protección de datos con el derecho a la libertad de expresión
e información, incluido el tratamiento con fines periodísticos y de expresión
académica, artística o literaria; b. que los Estados miembros determinen con-
diciones específicas para el tratamiento de un número nacional de identifica-
ción; c. que los Estados miembros establezcan normas más específicas para
garantizar la protección de datos en el ámbito laboral.
- Entrada en vigor y aplicación: Aunque la entrada en vigor del RGPD se
produjo el 25 de mayo de 2016, no ha sido aplicable -ni de obligado cumpli-
miento- hasta el 25 de mayo de 2018.
B) A fin de trasponer y desarrollar la ordenación contenida en el Regla-
mento 2016/679, en noviembre del año 2017 el Gobierno presentó un pro-
yecto de ley orgánica reguladora de la protección de los datos de carácter
marco legal y con los límites inherentes al mismo. Los empleadores ha-
brán de informar a los trabajadores acerca de esta medida.
En el supuesto de que las imágenes hayan captado la comisión flagrante
de un acto delictivo, la ausencia de la información a la que se refiere el
apartado anterior no privará de valor probatorio a las imágenes, sin
perjuicio de las responsabilidades que pudieran derivarse de dicha au-
sencia.
6. Al amparo del artículo 2.2.c) del Reglamento (UE) 2016/679, se con-
sidera excluido de su ámbito de aplicación el tratamiento por una per-
sona física de imágenes que solamente capten el interior de su propio
domicilio.
Esta exclusión no abarca el tratamiento realizado por una entidad de
seguridad privada que hubiera sido contratada para la vigilancia de un
domicilio y tuviese acceso a las imágenes.
7. El tratamiento de los datos personales procedentes de las imágenes
y sonidos obtenidos mediante la utilización de cámaras y videocámaras
por las Fuerzas y Cuerpos de Seguridad y por los órganos competen-
tes para la vigilancia y control en los centros penitenciarios y para el
control, regulación, vigilancia y disciplina del tráfico, se regirá por la
legislación de transposición de la Directiva (UE) 2016/680, cuando el
tratamiento tenga fines de prevención, investigación, detección o enjui-
ciamiento de infracciones penales o de ejecución de sanciones penales,
incluidas la protección y la prevención frente a las amenazas contra la
seguridad pública. Fuera de estos supuestos, dicho tratamiento se regirá
por su legislación específica y supletoriamente por el Reglamento (UE)
2016/679 y la presente ley orgánica.
8. Lo regulado en el presente artículo se entiende sin perjuicio de lo
previsto en la Ley 5/2014, de 4 de abril, de Seguridad Privada y sus dis-
posiciones de desarrollo.
Por otro lado, se debe destacar que el Proyecto no contempla la sanción
económica cuando el vulnerador es una autoridad u organismo público.
Al respecto, el artículo 83.7 del RGPD dispone que corresponde a cada
Estado miembro «establecer normas sobre si se puede, y en qué medida, im-
poner multas administrativas a autoridades y organismos públicos estableci-
dos en dicho Estado miembro».
Sin embargo, la trasposición que hace al respecto el legislador español
en el Proyecto enviado al Congreso de los Diputados en su artículo 77 (de-
nominado «Régimen aplicable a determinadas categorías de responsables o
encargados del tratamiento») es la de no sancionar las conductas infractoras
cuando la vulneración del derecho fundamental de los ciudadanos a la protec-
5
La videovigilancia, el derecho fundamental a la intimidad y a la propia
imagen
5.1
La videovigilancia y el derecho fundamental a la intimidad
Son numerosas las sentencias del Tribunal Constitucional que tratan de es-
pecificar un poco más el contenido del derecho a la intimidad, tarea espe-
cialmente ardua atendiendo al fenómeno que se viene denominando por la
doctrina «dimensión espiritual» de este derecho fundamental y que dificulta
mucho su delimitación concreta en abstracto.
Pasando al tema que nos ocupa, procede examinar si la videovigilancia
constituye una injerencia en dicho ámbito de protección. El derecho a la inti-
midad personal no se constriñe al ámbito doméstico o privado, sino que des-
pliega su eficacia también en la esfera pública. Protege un ámbito privado de
cada persona del que quedan excluidos los demás individuos. En este ámbito
no pueden penetrar terceros contra la voluntad del propio individuo.
Los sistemas de videovigilancia previstos en la legislación española cap-
tan imágenes de personas que deambulan o se hallan en el ámbito físico de
observación y el sonido ambiental que acompaña a aquellas. Los sistemas
captan con plena fidelidad los hábitos, las compañías, los horarios, las actitu-
des, y los gestos, así como el contenido de las conversaciones, etc. Toda esta
información es susceptible de ser registrada de forma duradera, así como de
ser analizada y reproducida cuantas veces se desee y utilizada con diversos
fines. No importa la relevancia de la información captada, o que ciertos ciuda-
danos manifiesten no tener reparos en su captación, lo decisivo es que se trata
ISSN: 1696-0955, febrero de 2019, págs. 234 - 280 255
Alicia Esther Ortuño Rodríguez
5.2
La videovigilancia en relación con el derecho a la propia imagen
La Ley Orgánica 4/1997 y las demás leyes que hacen posible la videovigilan-
cia en otros ámbitos habilitan no solo a la observación de ámbitos públicos,
sino también a la recogida de datos de carácter personal consistentes en imá-
genes y sonidos (que constituyen datos de carácter personal de acuerdo con la
Ley Orgánica de Protección de Datos).
En consecuencia, la Ley Orgánica 4/1997 incide de forma clara en el
derecho fundamental a la protección de datos personales. Las imágenes se
consideran un dato de carácter personal, en virtud de lo establecido en el artí-
culo 3 de la Ley Orgánica 15/1999.
Cabe citar, en materia de videovigilancia en ámbitos distintos de la reali-
zada por Fuerzas y Cuerpos de Seguridad del Estado, la Instrucción 1/2006 de
la Agencia Española de Protección de Datos, que dice al respecto: «Se consi-
derará identificable una persona cuando su identidad pueda determinarse me-
diante los tratamientos a los que se refiere la presente instrucción, sin que ello
requiera plazos o actividades desproporcionados». También dice lo siguiente:
En relación con la instalación de sistemas de videocámaras, será necesa-
rio ponderar los bienes jurídicos protegidos. Por tanto, toda instalación
deberá respetar el principio de proporcionalidad, lo que en definitiva
supone, siempre que resulte posible, adoptar otros medios menos intru-
6
Jurisprudencia del Tribunal Constitucional, del Tribunal de Justicia de
la Unión Europea y del Tribunal Europeo de Derechos Humanos
10. Quedan fuera de este litigio los efectos de las pruebas obtenidas en
el proceso laboral. El TEDH no declara que en el caso se hubiera lesionado
el principio a un proceso justo, por las garantías que se aplicaron en el proce-
so laboral. No obstante, la legislación procesal atribuye carácter ilícito a las
pruebas obtenidas en violación de los derechos fundamentales, lo que puede
ser determinante en los procesos disciplinarios y por despido.
4) Respecto del Tribunal Europeo de Derechos Humanos (TEDH), si
bien no cabe esperar una declaración dogmática por parte de este órgano,
podemos acudir a la casuística y a las diferentes posiciones fijadas en la juris-
prudencia recaída en cada caso para conocer los límites del «derecho a la vida
privada» de acuerdo con el TEDH.
Concretamente en el tema que nos ocupa se desprende que, con inde-
pendencia del dispositivo o tecnología utilizados, «se afecta a la vida privada
cuando el material recogido es objeto de un registro sistemático o permanen-
te, lo que permite que sea objeto de análisis y tratamiento de datos dirigidos
a la identificación de la persona» (Murray contra Reino Unido - Sentencia de
21 de septiembre de 1994; P.G y J.H contra Reino Unido - Sentencia de 25 de
septiembre de 2001; Peck contra Reino Unido - Sentencia de 28 de enero de
2003; Perry contra Reino Unido - Sentencia de 17 de julio de 2003; Von Han-
nover contra Alemania - Sentencia de 24 de junio de 2004). El caso Peck fue
el primer caso en el que el TEDH aborda la conformidad de la videovigilancia
desde la perspectiva del Convenio Europeo de Derechos humanos; sin em-
bargo, el razonamiento seguido no fue novedoso, pues en su jurisprudencia
anterior ya existían elementos suficientes para hacer previsible la resolución
de este primer caso de videovigilancia.
El TEDH diferencia entre Monitoring (o simple vigilancia electrónica de
la vía pública a través de un circuito cerrado de televisión que no graba imá-
genes), que no constituye una intromisión en la vida privada, y el Sistematic
or permanent recording (vigilancia con grabación de imágenes o videovigi-
lancia), que sí afecta al derecho a la vida privada. No obstante, para las Ad-
ministraciones públicas, la segunda opción es la única plausible, pues la pri-
mera requeriría un ratio de cámaras por supervisor que la hacen inviable, y la
descartan como opción general adecuada en lugares públicos. En este sentido
la legislación española ha previsto solamente los sistemas de videovigilancia
(captación y grabación de imágenes y sonidos en su caso).
La sentencia de Perry contra Reino Unido, referida a un caso de videofil-
mación policial subrepticia de una persona en las propias dependencias poli-
ciales, con objeto de elaborar un documento gráfico y poder practicar así una
rueda de reconocimiento a la que la persona afectada por la videofilmación
se había negado, aunque confirma los principios expuestos en casos prece-
dentes, contiene una frase que resulta unívoca: «As stated above, the normal
use of security cameras per se whether in the public Street or on premises,
such as shopping centers or police stations, where they serve a legitimate and
foreseeable purpose, do not raise issues under article 8 of de convention».
A la luz de esta Sentencia queda claro que, de acuerdo con el TEDH, la
utilización de videocámaras en espacios públicos abiertos o cerrados consti-
tuye una injerencia en el derecho al respeto de la vida privada, aunque puede
ser justificable cuando responde a una finalidad de seguridad preventiva en
una sociedad democrática.
7
Algunas sentencias de los tribunales superiores de justicia, Audiencia
Nacional y Tribunal Supremo
8
Bibliografía