Ley Omnibus y Videovigilancia. Implicaciones LOPD

El pasado 27 de diciembre entró en vigor la Ley 25/2009, conocida como Ley Omnibus, por la cual se modifican 47 leyes estatales de sectores como el de la energía, el transporte, las comunicaciones, la agricultura o la sanidad y liberaliza la prestación de determinadas actividades y servicios.

Esta ley supone la modificación de 116 decretos leyes y normas autonómicas y municipales y elimina 16 regímenes de autorización previa, otros 32 los sustituye por comunicaciones previas, y suprime 111 requisitos. Introduce una Disposición Adicional a la Ley de Seguridad Privada, 23/1992 de 30 de julio, que modifica su artículo 5.1 e), por la cual permite la instalación y mantenimiento de sistemas de videovigilancia por empresas distintas a las de seguridad privada. Así, cualquier empresa o particular podrá “vender, entregar, instalar y mantener equipos técnicos de seguridad” sin necesidad de cumplir las exigencias previstas en la Ley de Seguridad Privada para tales empresas, siempre que dichas instalaciones de videovigilancia no estén conectadas a una central de alarmas, en cuyo caso sí que deben estar realizadas por una empresa autorizada y registrada en el Ministerio del Interior.

En el campo de la protección de datos personales se mantienen las obligaciones del Responsable del Fichero, de informar a los interesados (carteles y hojas informativas), inscribir los ficheros ante la AEPD e implantar las medidas de seguridad en el tratamiento de las imágenes, estipuladas en la Ley Orgánica 15/1999 y, en concreto, en la Instrucción 1/2006 específica sobre videovigilancia. Si bien, lo que no se exige con este cambio de normativa es la comentada necesidad de que la instalación fuera realizada por una empresa autorizada de seguridad si la instalación no está conectada a una central de alarmas.

En mi opinión, esto puede hacer proliferar la instalación de sistemas de videovigilancia sin mayor control que el presumible buen hacer de las empresas instaladoras, lo que puede dar lugar a instalaciones que conculquen ciertos derechos de las personas que sean grabadas por no cumplir con los requisitos mínimos que establece la LOPD en materia de tratamiento de datos por sistemas de videovigilancia.

En la Memoria de 2008 de la AEPD, las reclamaciones relativas a videovigilancia ocuparon el tercer lugar, por detrás de telecomunicaciones y entidades financieras. Consuela, al menos, saber que el primer puesto en el ranking de ficheros inscritos lo ocupaban altas de ficheros de videovigilancia. No es descabellado pensar que a medida que la población vaya conociendo sus derechos en esta materia, el número de reclamaciones y ejercicio de derechos se dispare en los proximos años con motivo del control a posteriori de las instalaciones que se ha de realizar por el ciudadano y la AEPD.

Relacionado:

Áreas de Práctica Abanlex Abogados

Nota completa de la AEPD

Nota: La imagen que ilustra la entrada es un claro ejemplo de cartel que NO cumple los requisitos de la Instrucción 1/2006

Protección de datos personales en Centros Educativos públicos y privados

La adecuación a la normativa de protección de datos personales es ya una prioridad en la mayoría de centros educativos, tanto públicos como privados, de la Comunidad de Madrid y el resto de España. En cuanto a los centros públicos, casi el cien por cien (97%) de los de la Comunidad de Madrid tienen al menos un fichero inscrito en la APDCM, mientras que en el Plan sectorial de oficio a la enseñanza reglada no universitaria realizado por la AEPD se señala que solamente ocho de los 16 centros visitados, a nivel estatal, habían inscrito un fichero que hiciera referencia al tratamiento de datos personales de los alumnos o personal docente.

La Ley Orgánica de Educación (LOE) complementa en este sentido con su Disposición Adicional Vigesimotercera, a la Ley Orgánica de Protección de Datos (LOPD) y su normativa de desarrollo fijando los datos personales que podrán recabar los centros docentes así como que la mera incorporación de un alumno a un centro supondrá el consentimiento para el tratamiento de sus datos personales y, en su caso, la autorización para la cesión de los datos procedentes del centro en que hubiera estado matriculado con anterioridad. Dicha Disposición también hace referencia la deber de secreto por parte de los profesores y demás personal del centro de aquellos datos a los que tengan acceso con motivo del ejercicio de sus funciones. Por último, se recomienda que las cesiones de datos de un centro a otro se realicen de forma telemática asegurando una transferencia segura y efectiva. En caso de centros públicos de la Comunidad de Madrid, estarán también a lo estipulado en la Ley de Protección de Datos de la Comunidad de Madrid y su normativa de desarrollo.

Los ficheros más comunes que han de ser registrados por el tratamiento habitual de datos del centro educativo son:

1. Expediente académico (calificaciones, absentismo…).
2. Personal docente (fichero de profesores para gestión interna. Distinguir del fichero de rrhh de la Consejería de Educación).
3. Personal no docente (mantenimiento, limpieza…).
4. Servicios complementarios (comedor, transporte, guardería…).
5. Proveedores.
6. Admisión de alumnos (matriculaciones, solicitudes…).
7. Orientación psicopedagógica.
8. Otros en función de los servicios y características del centro.

En todo caso se ha de procurar por parte del centro educativo que solamente tengan acceso a los datos personales aquellas personas que, en cumplimiento de su función o cargo, estén autorizadas para ello. Es muy común que en determinadas ocasiones sea necesario dar publicidad a una serie de listados que contengan datos personales; siempre que sea posible se debe procurar que solamente los interesados tengan acceso a dicha información, bien proporcionando un usuario y contraseña para consulta online o, si la publicación ha de hacerse en tablones, que estos estén en una zona de acceso restringido para los interesados. Dicha publicidad ha de tener siempre en cuenta los principios de calidad (no incluir más datos que los necesarios) y proporcionalidad (procurar que sean las personas interesadas las que reciban la información sin que trascienda a terceros).

Nuevos ficheros. Además de los ficheros descritos anteriormente, de un tiempo a esta parte están proliferando dos tipos de tratamientos de datos que pueden poner en peligro de algún modo el libre desarrollo de la personalidad de los estudiantes y personal docente de los centros. Me refiero en concreto al tratamiento de datos por sistemas de videovigilancia y el control de presencia por huella digital. En todo caso estos sistemas de seguridad y control horario han de cumplir en todo caso los principios de Idoneidad (que sea un sistema óptimo para lograr el objetivo propuesto), Necesidad (justificación de que no se puede conseguir el objetivo de otro modo o es mucho más oneroso) y Proporcionalidad (ponderación que concluya que la finalidad de la medida propuesta merece mayor atención que la restricción de derechos que supone). Para la inscripción de ficheros de centros públicos es obligatorio incluso el acompañamiento del formulario de solicitud de un informe justificativo del respeto hacia estos tres principios. Para la instalación del sistema de control de presencia por huella  digital, también hay que considerar lo dispuesto en el Estauto de los Trabajadores (art. 64.1 y 64.2).

Por último, hay que reseñar la necesidad de tener redactado el correspondiente Documento de Seguridad que contenga las medidas de seguridad de índole técnico y organzativo que atañen al tratamiento de los datos personales. De igual manera se deben adaptar los impresos de recogida de datos, formularios y contratos para que contengan las cláusulas informativas que exige la ley. Cada dos años la ley exige una Auditoría de cumplimiento que puede ser interna o externa, siempre que la realice un profesional experto en la materia, que determine si se está cumpliendo con los requisitos mínimos en este ámbito o bien indique las cuestiones que necesiten de adaptación.

Enlaces de interés: Abanlex Abogados – Servicios Protección de datos.

Tu jefe te espía

El semanario alemán Stern publica hoy la noticia de que la cadena de supermercados Lidl ha contratado los servicios de una agencia de espionaje para controlar los movimientos de sus empleados. De los informes de la agencia se desprenden comentarios sobre la vestimenta de algún trabajador, así como acerca de sus comportamientos y las relaciones amorosas entre sus empleados. Un portavoz se excusa en que son filmaciones contra hurtos en las tiendas y no para la vigilancia de sus trabajadores.