Sonríe, te estamos vigilando

Hoy en día, cualquier titular de un pequeño negocio o pyme puede adquirir por un coste muy reducido un sistema de videovigilancia en internet e instalarlo directamente, en apenas unos minutos. Sin embargo, esta aparente facilidad técnica esconde una peligrosa trampa, pequeños comercios operan bajo la falsa sensación de que su establecimiento es un espacio exento de normas, instalando cámaras sin ningún rigor ni análisis y vulnerando sistemáticamente los derechos fundamentales de clientes y personas trabajadoras. 

Instalar una cámara de seguridad no es colgar un cuadro, supone el tratamiento continuo de un dato de carácter personal, la imagen y en muchos casos la voz, por tanto, exige el cumplimiento estricto del Reglamento General de Protección de Datos.

El peligro de las cámaras IP y la seguridad por defecto.

El primer gran riesgo surge del propio desconocimiento tecnológico. Es tristemente habitual adquirir cámaras IP muy económicas, que permiten visualizar la imagen desde un teléfono móvil conectado a internet, e instalarlas tal y como vienen de fábrica. Esto significa que los mecanismos de control de acceso se instalan con los usuarios y contraseñas por defecto o sin actualizar el firmware. 

Al obviar esta mínima medida de seguridad, la organización deja la cámara en una situación de puertas abiertas. Cualquier tercero con conocimientos básicos e identificando la dirección IP a través de buscadores, puede acceder a las imágenes en directo del interior del local comercial. Esto no solo es una negligencia grave, sino que constituye una brecha de seguridad que podría resultar sancionable por falta de adopción de medidas técnicas apropiadas para proteger los datos.

¿Audio?

Un error aún más invasivo es la activación de la grabación de sonido. Muchas de estas cámaras económicas incorporan micrófonos de serie y los propietarios los mantienen encendidos para escuchar lo que ocurre en su local, tanto las conversaciones de sus empleados como las de su clientela. Si la opción existe es una tentación evidente.

Desde la óptica de la protección de datos, la grabación de audio es una intromisión grave en la intimidad. La utilización de sistemas de grabación de sonidos en el lugar de trabajo se podría admitir cuando resulten relevantes los riesgos para la seguridad de las instalaciones, bienes y personas. Para una pyme comercial estándar, grabar sonido es probablemente desproporcionado, innecesario y puede vulnerar el principio de minimización. Un hurto o un problema de caja puede comprobarse perfectamente con la imagen, sin necesidad de vulnerar el secreto de las conversaciones privadas.

La ausencia de información y el cartel invisible.

No basta con que la cámara sea visible o usemos el cartel de la empresa de seguridad privada, el ciudadano debe ser advertido legalmente de que está siendo grabado. La falta del distintivo informativo es una de las infracciones más comunes en las inspecciones a pequeños locales.

La norma exige colocar en los distintos accesos a la zona videovigilada y en lugar visible uno o varios carteles que informen de que se accede a una zona videovigilada. Este cartel no es un mero adorno disuasorio, es el instrumento para cumplir con el deber de informar del artículo 13 del RGPD. Debe indicar claramente quién es el responsable del tratamiento y ante quién y dónde pueden dirigirse los afectados para ejercer sus derechos. Omitir este paso convierte el tratamiento en opaco. Lo que no te suelen contar es que además del cartel debes tener disponible más información, a modo de segunda capa, en tu web o en tu local por si el usuario lo solicite. Información como documentación técnica de la cámara, si graba audio o finalidades de la grabación.

Si tienes personas trabajadoras, debes informarles de manera más específica sobre los límites de la videovigilancia, las características de las cámaras, o cualquier información relevante sobre sus derechos. 

La vía pública.

Con el afán de proteger el escaparate o el vehículo aparcado en la puerta, muchos comerciantes enfocan sus cámaras directamente hacia la calle. Como regla general, la captación de imágenes de la vía pública con fines de seguridad es competencia exclusiva de las Fuerzas y Cuerpos de Seguridad. Las cámaras privadas no podrán obtener imágenes de espacios públicos salvo que resulte imprescindible para la finalidad de vigilancia que se pretende, limitándose a una franja mínima de los accesos al inmueble. Vigilar quién transita por la acera excede con creces la legitimación de un negocio privado.

¿Cuánto tiempo guardo la imagen?

Un aspecto crítico donde los pequeños negocios suelen fallar, especialmente si no han contratado servicios de empresas de videovigilancia suele ser el tiempo de conservación de las imágenes. El principio de limitación del plazo de conservación exige que los datos no se mantengan de forma que permitan la identificación de los interesados durante más tiempo del estrictamente necesario. Las imágenes deben ser suprimidas en el plazo máximo de un mes desde su captación. Muchos sistemas de grabación económicos conservan el metraje indefinidamente hasta agotar la capacidad del disco duro, lo cual constituye una vulneración directa de la norma. La única excepción legal a este borrado obligatorio se produce cuando las grabaciones recojan la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones. En tal caso, el propietario de la pyme no debe almacenar el vídeo como un archivo histórico particular, sino que tiene la obligación de extraer la grabación y ponerla a disposición de las Fuerzas y Cuerpos de Seguridad o de la autoridad competente en un plazo máximo de setenta y dos horas desde que tuviera conocimiento del incidente.

En resumen.

El uso de la videovigilancia es una medida legítima para garantizar la seguridad de un negocio, pero no puede convertirse en una herramienta de vigilancia descontrolada. Las pymes, al igual que las grandes empresas, están obligadas a aplicar el principio de responsabilidad proactiva. Deben incluir estas grabaciones en su Registro de Actividades de Tratamiento, ponderar si la instalación es idónea y necesaria, y configurar los equipos con las medidas de seguridad adecuadas. El desconocimiento de la ley o el bajo coste del dispositivo no eximen a ningún negocio de respetar la privacidad ciudadana.