BCN Televigilancia tratamiento datos %leolrwhfd gho &rqjuhvr 1dflrqdo gh &kloh _ $vhvrutd 7pfqlfd 3duodphqwduld ho uhjlvwur r d phqrv txh vhd shuwlqhqwh sdud dsolfdu od oh\ grqgh h[lvwh

$Page 1: BCN Televigilancia tratamiento datos %leolrwhfd gho &rqjuhvr 1dflrqdo gh &kloh _ $vhvrutd 7pfqlfd 3duodphqwduld ho uhjlvwur r d phqrv txh vhd shuwlqhqwh sdud dsolfdu od oh\ grqgh h[lvwh$
| Asesoría Técnica Parlamentaria

Mayo 2019

Tratamiento de imágenes de video vigilanciaLegislación comparada, guías, recomendaciones

Autor

Guido Williams O. [email protected] Tel.: (56) 32 226 3180

Nº SUP: 120267

Resumen

Se analiza la regulación, guías, recomendaciones y buenas prácticas comparadas en materia de tratamiento de imágenes obtenidas por medio de cámaras de video vigilancia. En Estados Unidos de América no existe normativa federal o estatal especial en la materia, sin embargo diversos actores han propuesto leyes modelos para eventualmente unificar los criterios legislativos de los Estados. Asimismo, se ha puesto de relieve la necesidad de regular el tratamiento de las consecuencias del reconocimiento facial obtenido por medio de video vigilancia. En Europa, el Reglamento de protección de datos, con vigencia desde 2018, califica las imágenes de las personas como datos biométricos. Estos no pueden ser objeto de tratamiento, salvo en diez casos y aun así los estados partes pueden imponer restricciones a dicho actuar. España y Reino Unido, cumplen las normas del Reglamento europeo. En el primer caso, el tratamiento de imágenes esencialmente debe ponderar tres variables: legitimación para utilizar dichos sistemas de captación; principio de limitación de la finalidad y principio de minimización de datos. Por su parte en Reino Unido, el Código que regula la materia plantea tres principios a seguir: i) no se deben almacenar más imágenes que la estrictamente requeridas para el objetivo declarado del sistema de cámara y deben ser eliminadas una vez que sus fines han sido cumplidos; ii) el acceso a las imágenes debe ser restringido, debe haber reglas definidas sobre quién puede acceder y con qué propósito y su divulgación solo procede cuando es necesario para cumplir con la ley; iii) las imágenes y la información del sistema de cámaras deben estar sujetas a medidas de seguridad para salvaguardar el acceso y los usos no autorizados. Por último en el Estado de Queensland de Australia, una Guía del Gobierno propone que quienes traten la información deben considerar diversos aspectos en su gestión, por ejemplo: ¿Qué tipo de información debe ser archivada?; ¿Cómo se debe grabar la información?; Gestión y archivo de las imágenes; seguridad y privacidad de las imágenes y el tiempo de su custodia; obligaciones judiciales respecto de las imágenes; Plan de uso de registros de dispositivos de vigilancia y ¿Qué obligaciones existen cuando hay personas subcontratadas?. En general, las normas y recomendaciones plantean que el plazo de preservación de las imágenes varía según si ellas sirven o no a la investigación y persecución de delitos.

Biblioteca del Congreso Nacional de Chile | Asesoría Técnica Parlamentaria

2

Introducción

Se analiza la regulación, guías, recomendaciones y buenas prácticas comparadas en materia de tratamiento de imágenes obtenidas por medio de cámaras de video vigilancia. Los casos seleccionados son Estados Unidos de América, Unión Europea, España, Reino Unido y el estado de Queensland, Australia. Las traducciones son propias.

I. Estados Unidos de América En los Estados Unidos de América, en el ámbito federal, diversas leyes regulan lo relativo a la protección de datos en materias determinadas. A saber, por ejemplo existen: la Fair Credit Reporting Act, la Right to Financial Privacy Act, la Electronic Communications Privacy Act, la Video Privacy Protection Act y la Cable Television Protection and Competition Act. Por lo anterior, no existe una ley única de protección de datos a nivel federal. Al mismo tiempo, a nivel estatal algunas constituciones y leyes, de manera relacionada, protegen el derecho a la privacidad. Estas normas se basan en el principio que los individuos tienen la expectativa de privacidad a menos que dicha posibilidad haya sido morigerada o eliminada por un acuerdo, estatuto o un deber de publicidad de la información (Thoren y Meyer, 2018)1. Asimismo, Thoren y Meyer apuntan que las leyes estatales sobre datos e información (como las imágenes) pueden por ejemplo incluir los siguientes deberes:

Protección de información personal ante acceso no autorizado, destrucción o uso indebido. Realización de acciones razonables para asegurar la destrucción de archivos conteniendo

información personal, permitiendo que ésta se vuelva indescifrable. Restricción de la captación y uso de las licencias de conducir para cualquier propósito diferente

a la verificación de la identidad y la edad. Requerimiento de notificación escrita a los titulares de información personal sensible, cuyo

acceso o adquisición es requerido por una persona no autorizada. Adopción de planes de seguridad escritos y comprehensivos. Encriptación de información personal en la transmisión de datos mediante Internet o en un

archivo en medios portátiles. Sin perjuicio de la variedad normativa, además en los Estados Unidos no existe legislación nacional sobre el tratamiento de las imágenes captadas por cámaras de video vigilancia. Sin embargo, se han presentado diversas propuestas asociadas al tratamiento de imágenes captadas por actos de video vigilancia. Por ejemplo, la Model face recognition legislation del Center on Privacy

1 Thoren Deborah y Catherine Meyer (2018) USA. Data protection. Disponible en: https://iclg.com/practice-areas/data-protection-laws-and-regulations/usa (mayo, 2019).


3

and Technology de la Universidad de Georgetown2 propone normas respecto al reconocimiento facial por medio de imágenes. Otra propuesta plantea directrices para ayudar a quienes deseen implementar un modelo de video vigilancia sin comprometer la privacidad de las personas y cumpliendo con las dispersas normas legales (Mahmood y Jensen, 2015)3. Puntualmente, la Ley Modelo del Center on Privacy and Technology propone normas para el acceso policial a las bases de datos de fotografías de arrestos, las licencias de conducir y además a las bases de datos estatales de fotografías que identifican a las personas y el uso policial de los sistemas de reconocimiento facial en tiempo real. Entre las definiciones de la Ley Modelo se encuentran:

Reconocimiento facial: es el proceso automatizado o semiautomatizado mediante el cual se identifica a una persona o se intenta identificarla basándose en las características de su rostro.

Reconocimiento de rostro determinado: es el uso del reconocimiento facial para identificar o intentar identificar a una persona específica como parte de una investigación criminal específica.

Reconocimiento facial continuo: es el uso del reconocimiento facial para identificar o intentar identificar grupos de personas como parte de una investigación criminal o vigilancia general, incluido el uso del reconocimiento facial para identificar de manera continua a las personas cuyas imágenes son capturadas o grabadas por una cámara de vigilancia.

Base de datos de fotos de arrestos: es una base de datos que se llena principalmente al guardar fotografías de personas arrestadas por agentes policiales

Base de datos de identificación con foto: es una base de datos poblada principalmente por fotos de licencias o documentos de identificación hechos o emitidos por o bajo la autoridad del Estado o una organización de éste.

Lista de vigilancia de emergencias: es una base de datos altamente específica poblada con una persona o personas específicas, respecto de las cuales hay causa probable para creer que ha cometido, está cometiendo o está a punto de cometer un delito que implica el peligro inmediato de muerte o lesiones físicas graves a cualquier persona.

Adicionalmente, la Ley modelo en relación al tratamiento del reconocimiento facial continuo, propone que los agentes policiales podrán hacer uso o solicitar usar este tipo de imágenes de cámaras de vigilancia, previa orden judicial (sección 102). Asimismo, en materia de limitaciones al tratamiento de datos, la Ley Modelo (sección 103) propone que los policías no deben utilizar el reconocimiento facial para crear un registro o archivo que:

Describa como un individuo ejerce los derechos garantizados por la Primera Enmienda (protege los derechos a la libertad de religión y a la libertad de expresión sin interferencia del gobierno), salvo que esté expresamente autorizado por la ley o por la persona respecto de la cual se crea

2 Center on Provacy and Technology. Universidad de Georgetown (s/f). Model face recognition. Disponible en: https://www.perpetuallineup.org/sites/default/files/2016-10/Model%20Face%20Recognition%20Legislation.pdf (mayo, 2019). 3 Mahmood Qasim y Jensen Christian (2015). Video Surveillance: Privacy Issues and Legal Compliance. En Kumar y Svensson (Eds.), Promoting Social Change and Democracy through Information Technology IGI global.


4

el registro o a menos que sea pertinente para aplicar la ley donde existe una sospecha razonable para creer que la mencionada persona se ha comprometido, está participando o está a punto de participar en una actividad delictiva;

Se base en la raza, origen étnico, nacionalidad, religión, discapacidad, género, identidad de género, real o percibida, u orientación sexual, como criterios de selección de la persona sujeta a reconocimiento facial, excepto cuando haya sospecha razonable, relevante por la localidad y la fecha, que vincule las características antes mencionadas de una persona, con un incidente o esquema criminal determinado.

Igualmente, organizaciones privadas como Microsoft (2018)4 han planteado públicamente, algunas interrogantes asociadas a las imágenes obtenidas mediante cámaras. La empresa declara que esta preocupación surge de diversas razones: la mayor capacidad de visión por parte de las computadoras y el más rápido el reconocimiento de los rostros de las personas; por existir mejores cámaras, sensores y capacidades de aprendizaje automático; por la generación de conjuntos de datos cada vez más grandes, a medida que se almacenan en línea más imágenes de personas; mayor capacidad de usar la "nube" para conectar todos estos datos, las nuevas tecnologías de reconocimiento facial con las cámaras que capturan imágenes de los rostros de las personas en tiempo real y que permiten identificarlos. En particular, algunas de las interrogantes de Microsoft asociadas al tratamiento de datos (imágenes) son:

¿Debería la ley exigir que las empresas obtengan un consentimiento previo antes de recopilar imágenes de individuos para el reconocimiento facial? Si es así, ¿en qué situaciones y lugares debería aplicarse esto? ¿Y cuál es la forma adecuada de solicitar y obtener dicho consentimiento?

¿Debería asegurarse que las personas tengan derecho a saber qué fotos se han recopilado y almacenado y que se han identificado con sus nombres y caras?

¿Deberían crearse procesos que otorguen derechos a las personas que estiman han sido identificadas erróneamente por un sistema de reconocimiento facial?

¿Debería asegurarse que haya supervisión y responsabilidad civil en el uso del reconocimiento facial como parte de las prácticas gubernamentales de uso de tecnología en el ámbito de la seguridad nacional?

II. Australia - Estado de Queensland De acuerdo al Gobierno del Estado de Queensland en Australia, los archivos de vigilancia y seguimiento son sujetos de los mismos principios y reglas de gestión y tratamiento de la información que aquellos regulados en las siguientes leyes: The Public Records Act de 2002, Information Privacy Act de 2009 y la Right to Information Act de 2009. De igual modo, ciertas imágenes digitales pueden además estar sujetas a otras leyes específicas, como la Copyright Act de 1968.

4 Microsoft (2018). Facial recognition technology: The need for public regulation and corporate responsibility. Disponible en: https://blogs.microsoft.com/on-the-issues/2018/07/13/facial-recognition-technology-the-need-for-public-regulation-and-corporate-responsibility/ (mayo, 2019).


5

Ahora bien, el Gobierno del Estado de Queensland propone tener en cuenta, en el tratamiento de las imágenes archivadas, los siguientes aspectos (Queensland, 2018)5: 1. Qué tipo de información debe ser archivada

Algunos criterios para determinar cuáles imágenes deben ser archivadas son por ejemplo:

El tipo de archivo. Por qué se crearon. Proveen ellos evidencia de un incidente, crimen u otra información y/o evidencia de una actividad

comercial. De manera concreta, se plantean los siguientes criterios para determinar qué registros de video vigilancia deben grabarse formalmente y cuáles no (Tabla 1).

Tabla 1. Tipos de archivos, su valor y relevancia de grabar

Tipo de Archivo Valor ¿Grabar o no? Actividades de vigilancia y monitoreo por dispositivos para un propósito específico y vigilancia continua de rutina. Nota: Esto es para todos los dispositivos de vigilancia y monitoreo, tecnología y equipo.

Proporciona evidencia de un incidente, crimen u otra información y se requiere para una investigación

Grabar y enviar copia a la policía.

Actividades de vigilancia y monitoreo por dispositivos para un propósito específico (por ejemplo, por drones, cámaras corporales, dispositivos móviles)

No proporciona evidencia de un incidente o crimen

Grabar

Vigilancia y seguimiento rutinarios continuos (por ejemplo, generalmente mediante dispositivos de vigilancia fijos, como cámaras de Circuito cerrado de Televisión (CCTV), donde el usuario no puede detener y comenzar a grabar fácilmente)

No requerido como evidencia o solicitado por la investigación y la aplicación de la ley

No necesita grabarse.

Fuente: Gobierno de Queensland.

2. Cómo se debe grabar la información

Todas las imágenes deben ser registros completos y confiables y ser aptos para el propósito que fueron grabados. La integridad de los registros debe conservarse cuando se extrae o transfiere a otro dispositivo. En este caso (extracción) procede realizar una distinción entre las imágenes primarias, originales y de trabajo.

Imágenes primarias: Se identifican como los primeros dispositivos en los que las imágenes se graban (por ejemplo, la grabación de material de video vigilancia en una grabadora de DVD o en una tarjeta de memoria de una cámara). Este tipo de dispositivos generalmente se vuelve a

5 Queensland Government (2018). Surveillance records. Disponible en: https://www.forgov.qld.gov.au/surveillance-records (mayo, 2019).


6

utilizar después de un período de tiempo, cuando se considera que el material de archivo no tiene ningún otro uso administrativo. Las imágenes primarias deben traspasarse en su formato nativo y sin ninguna "compresión" o alteración adicional.

Imágenes originales: Deben considerarse como "maestras" y son el registro oficial de las imágenes. Se conservan como copias exactas de la imagen primaria. La integridad de la imagen original y los "registros" de su auditoría deben mantenerse durante el período de retención requerido. No debe someterse a procesos que causen alteración permanente.

Imágenes de trabajo: Son copias de imágenes primarias u originales. Se crean cuando se requieren mejoras o alteraciones de la imagen principal u original (por ejemplo por "compresión", filtrado o recorte). En el caso de que se requiera uso de hardware o software propietario para la reproducción del video, y cuando estos no existan, se requerirá un cambio de formato para habilitar la edición o el procesamiento.

También en materia de grabado de imágenes, se establece que los metadatos6 requeridos que proporcionan el contexto y el significado de las imágenes, deben adjuntarse y conservarse junto con el registro para establecer adicionalmente "registros" de auditoría de la evidencia. En todo caso, la mayoría de los dispositivos de vigilancia generan automáticamente metadatos como la fecha, el número de la cámara (si corresponde), la ubicación y otra información similar. 3. Gestión y archivo de las imágenes

Todos los registros de vigilancia deben:

Ser archivados de forma segura. Estar a salvo de alteraciones para asegurar que su integridad y autenticidad puedan ser

verificadas. Preservarse para que permanezcan accesibles y utilizables durante el tiempo que deban

conservarse. Tener controles de acceso apropiados, en el lugar donde se encuentran. Se debe evitar almacenar registros en un formato propietario, procurando que sea el estándar.

Los registros no deben almacenarse en un formato "comprimido". La compresión puede reducir la calidad de la imagen o el video a un punto en el que se vuelve inutilizable y/o se oculta la información requerida. 4. Seguridad y privacidad de las imágenes

Según el Gobierno de Queensland, la Oficina del Comisionado de Información estatal tiene principios de privacidad de la información generada para drones y por cámaras. Estos proporcionan una guía sobre la gestión de la información personal que puede ser capturada, o está contenida en metadatos descriptivos y técnicos o datos de usuario.

6 Se entiende como el conjunto de datos que describen el contenido informativo de un recurso, de archivos o de información de los mismos.


7

Cualquier registro que contenga información personal debe almacenarse de manera segura y tener los controles de acceso adecuados. 5. Tiempo de custodia de las imágenes Los registros de vigilancia deben conservarse durante el tiempo especificado en un programa de custodia y eliminación. El tiempo que deban conservarse dependerá de para qué se necesitan los registros. En la tabla 2, el Gobierno de Queensland propone tiempos de registro según el valor probatorio del registro. Tabla 2. Valor de la evidencia y tiempo de registro necesario

Valor como evidencia Tipo de registro Proporciona evidencia de un incidente, crimen, investigación y ha sido entregado a la policía.

El N° 1202 del Programa general de retención y eliminación, establece que debe conservarse durante un año después de las grabaciones y deben ser enviados a la policía.

Proporciona evidencia de una actividad empresarial principal. Nota: Esto se aplica tanto a la vigilancia como a las actividades de monitoreo capturadas para un propósito específico y vigilancia continua.

Deben ser incorporados, en el registro donde todos los documentos asociados a la actividad principal de la organización se agregan.

Es parte de las actividades de vigilancia y monitoreo capturadas para un propósito específico y no se requiere para fines de investigación o evidencia criminal (por ejemplo, drones, cámaras corporales, dispositivos móviles).

El N° 1284 del Programa general de retención y eliminación, establece que se deben conservar durante los 90 días posteriores a la creación del registro.

Es parte de la vigilancia continua y no se requiere como prueba ni es solicitado por las agencias de investigación y de aplicación de la ley (por ejemplo, dispositivos de vigilancia fijos como cámaras de Circuitos Cerrados de Televisión, donde el usuario no puede detener y comenzar a grabar fácilmente).

El N° 1277 del Programa general de retención y eliminación, establece que se debe mantener hasta que se complete la acción comercial respectiva. Nota: la autoridad tendrá que decidir cuándo cesa el uso comercial.

Fuente: Gobierno de Queensland.

6. Obligaciones judiciales respecto de las imágenes Todas las autoridades tienen el deber de asegurar que no se eliminen los registros que puedan ser necesarios como pruebas en un proceso judicial o en comisiones de investigación. Cualquier registro que esté sujeto a una solicitud de acceso a la información, según la Information Privacy Act de 2009 y la Right to Information Act de 2009 o cualquier otra Ley relevante, no debe destruirse hasta que la solicitud y el período de apelación correspondiente se hayan terminado.


8

7. El personal debe tener dispositivos para registrar y procedimientos asociados La autoridad debe procurar que todos el personal cuente con dispositivos propios, y además debe asegurar la existencia de políticas y procedimientos de seguridad sobre: el acceso a los datos de dichos dispositivos; los registros que deben mantenerse y cómo deben ser grabados los datos en el sistema de registros de la autoridad. 8. Plan de uso de registros de dispositivos de vigilancia Los planificadores de cada organización deben conocer las implicaciones de mantener los registros del uso de dispositivos de vigilancia y monitoreo (por ejemplo, cámaras corporales, drones, GoPros) y cómo afecta el mantenimiento de registros asociados (por ejemplo, cambios en políticas, procedimientos, requisitos de almacenamiento). Las pautas para el uso de dispositivos de vigilancia y monitoreo deben cubrir: los requisitos de mantenimiento de los registros; cuándo deben activarse y desactivarse los dispositivos de grabación; cómo se transfieren las imágenes desde el dispositivo y si es necesario, cómo serán almacenados. 9. Subcontratación de actividades de vigilancia Cuando se subcontrata alguna actividad de vigilancia hay tener consideraciones adicionales de mantenimiento de registros. La transferencia de cualquier registro de vigilancia entre el proveedor del servicio y su mandante debe realizarse de manera segura para garantizar que se mantengan el registro de datos, los metadatos asociados y los registros de auditoría. La forma de realizar la transferencia y las medidas para mitigar los riesgos deben incluirse en los contratos.

II. Europa - España y Reino Unido En la Unión Europea existe el Reglamento relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE, y que es conocido como el Reglamento general de protección de datos7. En el Reglamento, las imágenes faciales son consideradas datos biométricos. En efecto, el artículo 4 N° 14 define a estos datos como

[d]atos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos;

7 Reglamento disponible en: https://eur-lex.europa.eu/legal-content/EN/TXT/?qid=1528874672298&uri=CELEX%3A32016R0679 (mayo, 2019).


9

Luego, el mismo artículo 4 define datos personales como

[t]oda información sobre una persona física identificada o identificable; se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;

Respecto al tratamiento de las categorías especiales de datos personales (como los biométricos), el artículo 9 señala como regla general que queda "prohibido el tratamiento de datos personales que revelen (...) datos biométricos dirigidos a identificar de manera unívoca a una persona física (...)". Sin embargo, el mismo artículo establece diez excepciones que permiten el tratamiento de este tipo de datos:

a. Cuando el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados, "excepto cuando el Derecho de la Unión o de los Estados miembros establezca que la prohibición mencionada en el apartado 1 no puede ser levantada por el interesado".

b. Cuando es necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social, en la medida en que así lo autorice el Derecho de la Unión de los Estados miembros o un convenio colectivo con arreglo al Derecho de los Estados miembros que establezca garantías adecuadas del respeto de los derechos fundamentales y de los intereses del interesado.

c. Cuando es necesario para proteger intereses vitales del interesado o de otra persona física, en el supuesto de que el interesado no esté capacitado, física o jurídicamente, para dar su consentimiento.

d. Cuando es efectuado, en el ámbito de sus actividades legítimas y con las debidas garantías, por una fundación, una asociación o cualquier otro organismo sin ánimo de lucro, cuya finalidad sea política, filosófica, religiosa o sindical, siempre que el tratamiento se refiera exclusivamente a los miembros actuales o antiguos de tales organismos o a personas que mantengan contactos regulares con ellos en relación con sus fines y siempre que los datos personales no se comuniquen fuera de ellos sin el consentimiento de los interesados.

e. Cuando el tratamiento se refiere a datos personales que el interesado ha hecho manifiestamente públicos.

f. Cuando es necesario para la formulación, el ejercicio o la defensa de reclamaciones o cuando los tribunales actúen en ejercicio de su función judicial.

g. Cuando es necesario por razones de un interés público esencial, sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado.

h. Cuando es necesario para fines de medicina preventiva o laboral, evaluación de la capacidad laboral del trabajador, diagnóstico médico, prestación de asistencia o tratamiento de tipo sanitario


10

o social, o gestión de los sistemas y servicios de asistencia sanitaria y social, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario sujeto a la obligación de secreto profesional, o bajo su responsabilidad, de acuerdo con el Derecho de la Unión o de los Estados miembros o con las normas establecidas por los organismos nacionales competentes, o por cualquier otra persona sujeta también a la obligación de secreto de acuerdo con el Derecho de la Unión o de los Estados miembros o de las normas establecidas por los organismos nacionales competentes.

i. Cuando es necesario por razones de interés público en el ámbito de la salud pública, como la protección frente a amenazas transfronterizas graves para la salud, o para garantizar elevados niveles de calidad y de seguridad de la asistencia sanitaria y de los medicamentos o productos sanitarios, sobre la base del Derecho de la Unión o de los Estados miembros que establezca medidas adecuadas y específicas para proteger los derechos y libertades del interesado, en particular el secreto profesional.

j. Cuando es necesario con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el Reglamento sobre la base del Derecho de la Unión o de los Estados miembros, que debe ser proporcional al objetivo perseguido, respetar en lo esencial el derecho a la protección de datos y establecer medidas adecuadas y específicas para proteger los intereses y derechos fundamentales del interesado.

En estos casos excepcionales, el mismo artículo 9 dispone que los Estados miembros podrán mantener o introducir condiciones adicionales, inclusive limitaciones, con respecto al tratamiento de datos biométricos. 1. España En España, las normas del Reglamento general de protección de datos de la Unión Europea son recogidas en la Ley General de Protección de Datos de 20188. Por ello se podrán tratar imágenes, en los términos establecidos por la norma europea. De acuerdo a la Agencia Española de Protección de Datos (Agencia) en el tratamiento de las imágenes debe valorarse i) la legitimación para utilizar dichos sistemas de captación y los principios de ii) limitación de la finalidad y iii) minimización de datos del artículo 5 del Reglamento europeo. Adicionalmente, en referencia al principio de responsabilidad proactiva, deben realizarse también una serie de actuaciones para que estos tratamientos se ajusten al contenido del citado Reglamento (Agencia Española de Protección de Datos, 2018)9. En primer lugar, en cuanto a la legitimación, el Reglamento europeo (art. 6) permite el tratamiento de datos de carácter personal cuando sea necesario para el cumplimiento de una misión de interés público. En ese sentido, en el ordenamiento jurídico español existe la Ley Orgánica 4/199710 en la cual se regula la utilización de video cámaras por las Fuerzas y Cuerpos Policiales, quienes además son los únicos habilitados para grabar en espacios públicos para fines de seguridad pública.

8 Ley disponible en: https://www.boe.es/buscar/doc.php?id=BOE-A-2018-16673 (mayo, 2019). 9 AEPD. (2018). Guía sobre el uso de videocámaras para seguridad y otras finalidades. 10 Ley disponible en: https://www.boe.es/buscar/doc.php?id=BOE-A-1997-17574 (mayo, 2019).


11

Luego, en cuanto al principio de limitación la Agencia, citando el artículo 5 del Reglamento europeo, que

[l]os datos personales será recogidos con fines determinados, explícitos y legítimos y no serán tratados ulteriormente de manera incompatible con dichos fines, de manera que los datos que sean objeto de tratamiento a través de la video vigilancia serán tratados para la finalidad que ha motivado la instalación de la misma y que está vinculada a garantizar la seguridad de personas, bienes e instalaciones.

En España, como se señaló, por regla general las fuerzas y cuerpos policiales deben realizar la prevención de hechos delictivos y dar garantía de la seguridad en la vía pública. Sin embargo, la Agencia Española de Protección de Datos (pp. 7-8), en el marco del actuar legítimo, indica algunas excepciones sobre la acción policial en dicho espacio territorial:

En algunas ocasiones para la protección de espacios privados, donde se hayan instalado cámaras en fachadas o en el interior, puede ser necesario para garantizar la finalidad de seguridad la grabación de una porción de la vía pública, Es decir, las cámaras y video cámaras instaladas con fines de seguridad no podrán obtener imágenes de la vía pública salvo que "resulte imprescindible para dicho fin, o resulte imposible evitarlo por razón de la ubicación de aquéllas". Por lo tanto, las cámaras podrían captar la porción mínimamente necesaria para la finalidad de seguridad que se pretende.

Será posible la captación de la vía pública en una extensión superior cuando fuese necesario para garantizar la seguridad de bienes o instalaciones estratégicas o de infraestructuras vinculadas al transporte.

En segundo lugar, en cuanto al principio de minimización de datos, la Agencia (p.8) señala que se refiere a que "los datos objeto de tratamiento sean adecuados, pertinentes y limitados en relación con los fines para los que son tratado". Por ello, cabe considerar que existen espacios en los cuales podría ser desproporcionado la utilización de la video vigilancia, por ejemplo en vestuarios y zonas de descanso de trabajadores. Adicionalmente a lo señalado, cabe considerar que quienes traten la imágenes deben adoptar "medidas de responsabilidad proactiva" las que consisten "en la capacidad del responsable, es decir, de la organización, de demostrar y proporcionar evidencias de dicho cumplimiento" (Agencia, p.9). En concreto, estas medidas proactivas pueden incluir lo siguiente (Agencia, pp. 10-20):

Nombrar un delegado de protección de datos: Se debe nombrar un responsable proactivo con conocimiento especializado en derecho y en la práctica de protección de datos.

Establecer un Registro de actividades de tratamiento: Se podrá constituir sobre la base de las informaciones de los ficheros de tratamientos notificados al Registro General de Protección de


12

Datos de la Agencias. Este registro supondrá que la operación de tratamiento es la video vigilancia ligada a la finalidad de garantizar la seguridad.

Realizar análisis de riesgos y medidas de seguridad: Los riesgos varían según los tipos de tratamiento, la naturaleza de los datos, el número de afectados y la cantidad y variedad de tratamientos. Los riesgos no son estáticos por lo que corresponderá al responsable, luego de determinarlos, establecer las medidas de seguridad necesarias para garantizar la confidencialidad, la integridad y la disponibilidad de los datos personales.

Evaluar el impacto en la protección de datos: Es una "herramienta de carácter preventivo que debe realizar el responsable del tratamiento para poder identificar, evaluar y gestionar los riesgos a los que están expuestas sus actividades de tratamiento con el objetivo de garantizar los derechos y libertades de las personas física"(Agencia, p. 17). El Reglamento determina los supuestos en que debe realizarse una evaluación de impacto:

Evaluación sistemática y exhaustiva de aspectos personales de personas naturales que se base en un tratamiento automatizado, como la elaboración de perfiles, y sobre cuya base se tomen decisiones que produzcan efectos jurídicos para las personas físicas o que les afecten significativamente de modo similar.

Tratamiento a gran escala de las categorías especiales de dato, como los biométricos (imágenes). En este caso, para determinar si es de "gran escala" se debe considerar: número de interesados afectados, bien como cifra o como proporción de la población correspondiente; el volumen de datos o la variedad de elementos de datos distintos que se procesan; la duración, o permanencia, de la actividad de tratamiento de datos y alcance geográfico de la actividad de tratamiento.

Observación sistemática a gran escala de una zona de acceso público. Tener en cuenta la privacidad desde el diseño y por defecto. Éste, incluye dos principios:

Principio de protección de datos desde el diseño supone que la protección de datos ha de estar presente en las primeras fases de concepción de un proyecto y formar parte de la lista de elementos a considerar antes de iniciar las sucesivas etapas de desarrollo.

Principio de protección de datos por defecto supone que se adopten las medidas técnicas y organizativas apropiadas para garantizar que por defecto, sólo sean objeto de tratamiento los datos personales necesarios para cada uno de los fines específicos del tratamiento.

Otro aspecto que menciona la Agencia (pp. 24 y ss.) es lo relativo a la conservación de imágenes. Esta autoridad estima que con la entrada en vigencia del Reglamento europeo, la supresión de los datos (cancelación de imágenes) debe ocurrir en el "plazo máximo de un mes", salvo en aquellos supuestos en que se deban conservar para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. Puntualmente, la Ley 4/1997 rige el tratamiento de las imágenes de video cámaras, fijas o móviles, instaladas en lugares públicos por las Fuerzas y Cuerpos de Seguridad. Esta norma señala por ejemplo que (Agencia, p.30):

Las imágenes captadas deberá ponerse a disposición de la autoridad administrativa o judicial competente.


13

Se fija en un mes el periodo de conservación de las imágenes, transcurrido el cual deberán destruirse, salvo que estén relacionadas con infracciones penales o administrativas en materia de seguridad pública o con una investigación policial en curso.

El acceso a las grabaciones deberá observar la debida reserva, confidencialidad y deber de secreto en relación con las mismas.

Se prohíbe la cesión o copia de las imágenes y sonidos obtenidos. Las zonas vigiladas deberán estar señalizadas. Las personas interesadas podrán ejercer el derecho de acceso y cancelación de las imágenes

en que hayan sido recogidas. 2. Reino Unido En el Reino Unido, existe la Data Protection Act de 201811. Esta norma también se ajusta a las reglas del Reglamento europeo de protección de datos. Puntualmente, en materia de video vigilancia, la Protection of Freedoms Act 201212, en su parte II (secciones 29 a 36) dispone que el Secretario de Estado debe dictar un Código de Buenas Prácticas (Surveillance Camera Code of Practice 2013) para los sistemas de cámaras de video vigilancia. La ley de 2012 prescribe que el Código debe contener el desarrollo o uso de sistemas de cámaras de vigilancia y el uso o tratamiento de imágenes u otra información obtenida en virtud de dichos sistemas. Igualmente, el Código puede incluir disposiciones sobre:

La utilización de sistemas de cámaras de vigilancia. Tipos de sistemas o aparatos. Normas técnicas para sistemas o aparatos. Ubicaciones para sistemas o aparatos. Publicación de información sobre sistemas o aparatos. Normas aplicables a las personas que utilizan o mantienen sistemas o aparatos. Normas aplicables a las personas que utilizan o procesan información obtenida en virtud de los

sistemas. Acceso o la divulgación de la información así obtenida. Procedimientos de reclamaciones o consultas.

La Surveillance Camera Code of Practice 201313 en primer lugar, señala que los sistemas de cámaras de vigilancia se encuentran ampliamente implementados en Inglaterra y Gales, y a su respecto existe un complejo panorama de propiedad y de operación. Adicionalmente indica que, si son usados apropiadamente, son herramientas valiosas que contribuyen a la seguridad pública y en la protección de las personas y los bienes (Código, 1.3).

11 Ley disponible en: http://www.legislation.gov.uk/ukpga/2018/12/contents/enacted (mayo, 2019). 12 Ley disponible en: http://www.legislation.gov.uk/ukpga/2012/9/contents/enacted (mayo, 2019). 13 Código disponible en: https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/282774/SurveillanceCameraCodePractice.pdf(mayo, 2019).


14

Para el cumplimiento de su objetivo el Código establece 12 principios rectores que deben aplicarse a todos los sistemas de cámaras de vigilancia en lugares públicos. Indica el Código que estos principios rectores están diseñados para entregar un marco de utilización, a los operadores y a los usuarios de esos servicios, que sea proporcional y transparente, sin perjuicio de asegurar que generen imágenes de buena calidad e información que sea adecuada para su propósito (Código, 1.6). Los principios rectores que establece el Código son 12 y se pueden dividir en dos grupos: desde los principios 1 a 4 se refieren al desarrollo o el uso de sistemas de cámaras de vigilancia; los principios 5 a 12 abordan el uso o el procesamiento de imágenes e información. En resumen, los principios asociados al tratamiento de imágenes plantean que:

No se deben almacenar más imágenes e información que la estrictamente requerida, para el objetivo declarado del sistema de cámara de vigilancia y tales imágenes e información deben ser eliminados una vez que sus propósitos hayan sido cumplidos.

El acceso a las imágenes retenidas y a la información debe estar restringido y debe haber reglas claramente definidas sobre quién puede obtener ese acceso y con qué propósito; la divulgación de imágenes e información solo debe tener lugar cuando sea necesario para un fin legal o para el cumplimiento de la ley.

Las imágenes y la información del sistema de cámaras de vigilancia deben estar sujetas a medidas de seguridad para salvaguardar el acceso y los usos no autorizados.

El Home Office de Reino Unido, entrega recomendaciones para cada uno de los principios14. En particular, para los relacionados al tratamiento de imágenes señala: a. Deber de almacenar la información estrictamente requerida Las imágenes y la información obtenida de un sistema de video vigilancia no deben conservarse por más tiempo que el necesario para cumplir con el propósito para el que se obtuvieron. Este período debe decidirse por adelantado y debe ser el mínimo necesario. Aunque las imágenes y otra información no deben conservarse por más tiempo del necesario para cumplir con los propósitos de registro, en ocasiones es posible que un operador del sistema tenga que retener las imágenes por un período más largo, por ejemplo, cuando un cuerpo policial está investigando delitos, para darles la oportunidad de ver las imágenes como parte de las pesquisas. b. Deber de no divulgación La divulgación de imágenes y otra información obtenida de un sistema de cámaras de vigilancia debe ser controlada y coherente con el propósito para el cual se estableció el sistema. Ahora bien, la divulgación puede realizase conforme a leyes determinadas. Estas excepciones a la regla incluyen además los casos en los que la no divulgación podría perjudicar la prevención y detección de delitos y

14 Reino Unido, Home Office (2013). Surveillance Camera Code of Practice Pursuant to Section 29 of the Protection of Freedoms Act 2012.


15

la seguridad nacional. Si un operador del sistema rechaza una solicitud de divulgación de un cuerpo policial, la ley permite solicitar una orden judicial que requiera la entrega.

También, en algunas ocasiones (limitadas) puede haber revelación de imágenes a un tercero, como por ejemplo a una persona cuya propiedad ha sido dañada. Dichas solicitudes de imágenes o información deben "abordarse con cuidado, ya que una amplia divulgación puede ser una intrusión injusta en la privacidad de las personas involucradas" (Surveillance Camera, p.14). Los operadores de los sistemas deben tener políticas y pautas claras establecidas para atender cualquier solicitud que reciban. En particular:

Debe establecerse la restricción de la divulgación de imágenes de manera coherente con el propósito de su instalación.

Cuando se divulguen imágenes, se debe considerar si es necesario ocultar a los individuos para evitar una identificación injustificada.

Quienes manejan las solicitudes de divulgación deben tener una orientación clara sobre las circunstancias en que es apropiada la divulgación.

El método de divulgación de imágenes debe ser seguro para garantizar que solo sean vistas por el destinatario.

Deben mantenerse registros apropiados. La calificación sobre la divulgación debe ser realizada por un operador del sistema. Estos deben tener la potestad para rechazar cualquier solicitud de información, a menos que exista una obligación legal, una orden judicial o derechos de acceso a la información. Una vez que han entregado una imagen a otro órgano, como la policía, el destinatario se hace responsable de la copia. .

Las personas pueden solicitar imágenes e información relacionadas a ellas por medio de una solicitud de acceso de sujeto según la Data Protection Act de 2018.

3. Adopción de medidas de seguridad para salvaguardar el acceso y los usos no autorizados La implementación de salvaguardas de seguridad efectivas ayuda a garantizar la integridad de las imágenes y la información en caso de que sean necesarias para su uso como evidencia en procedimientos judiciales. Esto también ayuda a fomentar la confianza pública en los operadores del sistema y la forma en que abordan el manejo de imágenes e información. Quienes operan sistemas de cámaras de video vigilancia o que usan o procesan imágenes e información obtenida por dichos sistemas deben tener una política clara y definida para determinar cómo se almacenan dichas imágenes e información y además respecto de quién tiene acceso a ellas. Finalmente, la seguridad se extiende a lo técnico, organizativo y físico, y también deben existir medidas para proteger contra el uso, acceso o divulgación no autorizados.


16

Nota aclaratoria Asesoría Técnica Parlamentaria, está enfocada en apoyar preferentemente el trabajo de las Comisiones Legislativas de ambas Cámaras, con especial atención al seguimiento de los proyectos de ley. Con lo cual se pretende contribuir a la certeza legislativa y a disminuir la brecha de disponibilidad de información y análisis entre Legislativo y Ejecutivo.

Creative Commons Atribución 3.0 (CC BY 3.0 CL)

Documents

BCN Televigilancia tratamiento datos %leolrwhfd gho &rqjuhvr 1dflrqdo gh &kloh _ $vhvrutd 7pfqlfd 3duodphqwduld ho uhjlvwur r d phqrv txh vhd shuwlqhqwh sdud dsolfdu od oh\ grqgh h[lvwh