La Agencia Española de Protección de Datos (AEPD) ha impuesto una multa de 10.000 euros a una empresa madrileña especializada en impresión 3D por instalar un sistema de videovigilancia sin formalizar un contrato con la empresa encargada del tratamiento de las imágenes captadas. Este caso, que podría parecer anecdótico, revela una preocupante falta de cumplimiento normativo en el ámbito de la ciberseguridad y la protección de datos personales.
Un caso que ejemplifica la negligencia en protección de datos
La sanción se originó tras la denuncia de un trabajador que alertó sobre la instalación de cámaras de videovigilancia en las instalaciones de la empresa, ubicadas en Torrejón de la Calzada (Madrid). El empleado señaló que las cámaras podían captar sonido y estaban orientadas hacia zonas de descanso y la vía pública, sin que se hubiera informado adecuadamente a los trabajadores ni se hubiera obtenido su consentimiento.
La empresa argumentó que las cámaras eran propias y se utilizaban para controlar los procesos productivos. Sin embargo, al ser cuestionada por la AEPD, presentó un contrato de prestación de servicios de seguridad firmado por otra empresa con la que compartía sede social, sin aportar evidencia de un acuerdo formal con la entidad que realmente trataba las imágenes.
La importancia del contrato de encargo de tratamiento
El Reglamento General de Protección de Datos (RGPD) establece en su artículo 28 la obligatoriedad de formalizar un contrato de encargo de tratamiento entre el responsable del tratamiento y el encargado. Este contrato debe especificar, entre otros aspectos, la duración, la naturaleza y la finalidad del tratamiento, así como las obligaciones y derechos de ambas partes.
En este caso, la ausencia de un contrato válido impide conocer con certeza las responsabilidades de cada parte, generando inseguridad jurídica y potenciales riesgos para los derechos de los afectados. La AEPD considera que esta negligencia constituye una infracción grave del RGPD, lo que justifica la imposición de la multa.
Un patrón de incumplimiento en el uso de videovigilancia
Este no es un caso aislado. Recientemente, la AEPD ha sancionado a varias empresas por irregularidades en el uso de sistemas de videovigilancia. Por ejemplo, un gimnasio de Tres Cantos fue multado con 21.600 euros por grabar a los usuarios durante las clases sin obtener un consentimiento válido. La AEPD determinó que exigir a los usuarios abandonar la clase para evitar ser grabados no garantiza un consentimiento libre, tal como establece el RGPD.
Estos casos evidencian una falta de concienciación sobre la normativa de protección de datos y la necesidad de implementar medidas adecuadas para garantizar la privacidad de las personas.
Recomendaciones para evitar sanciones
Para prevenir situaciones similares, las empresas deben adoptar una serie de medidas:
- Formalizar contratos de encargo de tratamiento: Es imprescindible establecer acuerdos por escrito con las entidades que traten datos personales en nombre de la empresa, detallando las condiciones del tratamiento y las responsabilidades de cada parte.
- Informar adecuadamente a los afectados: Se debe proporcionar información clara y accesible sobre la existencia de sistemas de videovigilancia, su finalidad y los derechos de las personas grabadas.
- Obtener el consentimiento cuando sea necesario: En situaciones donde se requiera el consentimiento de los afectados, este debe ser libre, específico, informado e inequívoco.
- Limitar la captación de imágenes: Las cámaras deben enfocarse únicamente en las áreas necesarias para la finalidad del tratamiento, evitando grabar zonas de descanso, espacios públicos o áreas donde se pueda vulnerar la intimidad de las personas.
- Implementar medidas de seguridad: Es fundamental garantizar la confidencialidad, integridad y disponibilidad de las imágenes captadas, adoptando medidas técnicas y organizativas adecuadas.
La sanción impuesta a la empresa de impresión 3D pone de manifiesto la importancia de cumplir con la normativa de protección de datos en el uso de sistemas de videovigilancia. La falta de diligencia en este ámbito no solo puede acarrear sanciones económicas, sino también dañar la reputación de la empresa y vulnerar los derechos fundamentales de las personas.
En un entorno cada vez más digitalizado, es esencial que las organizaciones adopten una cultura de cumplimiento normativo y protección de datos, integrando estas prácticas en su gestión diaria y contando con el asesoramiento de profesionales especializados.
Solo así podrán garantizar la privacidad de las personas y evitar consecuencias legales que puedan comprometer su actividad empresarial.
