50.000€ de sanción por instalar videocámaras en el comedor de la entidad

En el post de esta semana desgranamos, a raíz de la última resolución de la Agencia Española de Protección de Datos (en adelante, AEPD), el tratamiento de datos en el ámbito de la videovigilancia, poniendo en valor cómo un correcto diseño y planificación de la actividad nos evita, no sólo sanciones del órgano regulador, sino también dañar los derechos y libertades del personal.

En este supuesto, la parte reclamante manifiesta que la entidad en la que trabaja ha instalado una cámara de videovigilancia en el comedor de los trabajadores sin informarles de la acción y los motivos.

La AEPD da traslado a la entidad, quien comienza su argumentación señalando que, por el objeto de su negocio (el sector del transporte y logística), comparte el espacio con terceros (autónomos que prestan allí sus servicios, personal de ETT, clientes y proveedores) por lo que, en base al artículo 20.3 del Estatuto de los Trabajadores, que recordamos que ampara al empresario para adoptar las medidas que estime más oportunas, respecto a la vigilancia y control, con la finalidad de verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, salvaguardando en todo caso la dignidad del personal, aduce base legitimación para videovigilar a todo el centro de trabajo, incluyendo la nave industrial y sus oficinas.

En cuanto a la cámara ubicada en el comedor, que está conformado por una sala de amplias dimensiones con numerosas mesas, una zona de mobiliario de cocina que cuenta con ocho microondas y otra con varias máquinas de vending, expone que se trata de una zona de uso común y sin acceso restringido para los empleados propios de la entidad en la que se han producido varios robos y actos de vandalismo, por lo que, de cara a prevenir nuevos ataques, procedieron a su instalación. Es decir, si en un momento incial se aludía al control laboral como finalidad, para el caso concreto de esta cámara, se sumaría adicionalmente la protección de los bienes y las personas.

Respecto al derecho a informar, la entidad asevera que sí existen carteles informativos, que han información al Comité de Empresa y a los trabajadores en el manual de bienvenida de la utilización de sistemas para control laboral y que son informados del uso de los datos, la finalidad y los mecanismos para ejercer sus derechos.

Por último, hacen alusión al juicio de proporcionalidad en el que manifiestan que dicha cámara cumple con los requisitos de legitimidad, necesariedad y proporcionalidad estrictu sensu, afirmando que sería lícito el tratamiento incluso sin haber informado a los trabajadores, puesto que existen sospechas de conducta irregular y la cámara no está oculta, de modo que, “aunque éstos no sean advertidos de su posible uso con fines disciplinarios, pues entiende que en el ámbito laboral, el consentimiento de la persona trabajadora para el tratamiento por la empresa de sus datos de carácter personal pasa a un segundo plano, ya que el consentimiento se entiende implícito en la relación negocial, siempre que el tratamiento de dichos datos sea necesario para el mantenimiento y el cumplimiento del contrato firmado por las partes y no se lesionen derechos fundamentales de la persona trabajadora.”

La AEPD, al albur de los hechos, propone acuerdo de apertura de procedimiento sancionador por infracción del artículo 6 RGPD al no tener la entidad base de legitimación alguna para el tratamiento de datos que realiza dicha cámara, recalcando que toda actividad debe respetar obligatoriamente el derecho a la intimidad y el derecho a la protección de datos.

Siendo este el contexto, la AEPD se remite al artículo 89 LOPDPGDD, que permite que los empleadores puedan tratar las imágenes obtenidas a través de sistemas de videovigilancia para el ejercicio de las funciones de control de los trabajadores “siempre que estas funciones se ejerzan dentro de su marco legal y con los límites inherentes al mismo”. Para ello, se debe cumplir con los siguientes requisitos:

• Llevar un registro de las actividades de tratamientos.

• Delimitar la finalidad del tratamiento, que en ese caso sería preservar la seguridad de las personas y bienes, así como sus instalaciones.

• Que la finalidad pretendida no pueda lograrse de una forma menos intrusiva para los derechos y libertades del personal.

• Que las imágenes obtenidas no puedan utilizarse para una finalidad ulterior incompatible con la que motivó la instalación del sistema de videovigilancia. Es decir, si las imágenes se utilizan para proteger y se informa exclusivamente de esta, no pueden utilizarse para realizar control laboral, salvo excepciones amparadas por la jurisprudencia.

• Cumplir con el deber de información en los artículos 12 y 13 del RGPD, y 22 de la LOPDGDD, en los términos señalados.

• Realizar un análisis de riesgos o, en su caso, una evaluación de impacto para detectar los riesgos derivados de la implantación del sistema de videovigilancia, valorarlos y, en su caso, adoptar las medidas de seguridad apropiadas.

• Conservar las imágenes por un plazo máximo de un mes, salvo en aquellos supuestos en que se deban conservar para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En este segundo supuesto, deberán ser puestas a disposición de la autoridad competente en un plazo máximo de 72 horas desde que se tuviera conocimiento de la existencia de la grabación.

• Comunicación de todas las brechas de seguridad que afecten a los tratamientos de cámaras con fines de seguridad, siempre que exista riesgo para los derechos y libertades de las personas físicas, deberá notificarlo a la AEPD en un plazo máximo de 72 horas.

• Cuando el sistema esté conectado a una central de alarma, únicamente podrá ser instalado por una empresa de seguridad privada que reúna los requisitos contemplados en el artículo 5 de la Ley 5/2014 de Seguridad Privada, de 4 de abril.

Pero, además, la propia norma señala expresamente que resulta desproporcionado captar imágenes en espacios privados, tales como vestuarios, taquillas o zonas de descanso de trabajadores.

Es decir, con independencia de lo anterior, la norma no excluye ni reduce el hecho de que este sea utilizado por personas distintas a los trabajadores propios de la empresa.

En cuanto a la captación de la imagen del comedor, si bien es cierto que existe una máscara de privacidad que protege el espacio de las mesas, no así el resto, como es la zona que separa las máquinas de vending de las mesas y que pertenece íntegramente al comedor, de modo que la captación no se limita a controlar exclusivamente a las personas que hacen uso de las máquinas de vending, sino que alcanza a todas las personas que acceden al comedor, hagan uso o no de dichas maquinas. Además, la propia entidad reclamada admite en su escrito de alegaciones que las personas que acceden al comedor atraviesan “el resto de pasillos de la nave y el lugar de trabajo videovigilado para alcanzar el comedor”, por lo que ya existían medidas de control de acceso previo a esas dependencias.

A la luz de los hechos, la AEPD sanciona finalmente a la entidad por infracción del artículo 6 RGPD con una multa de 50.000 euros.