¿Cuánto tiempo puedo conservar las imágenes de cámaras de mi empresa?
La propia RGPD no establece un plazo fijo para las imágenes de cámaras. El reglamento estipula que los datos personales no se conservarán más tiempo del necesario para el fin para el cual fueron recogidos, y deja a la organización la responsabilidad de determinar ese plazo y poder justificarlo.
Para la videovigilancia en la planta de producción o en una tienda o nave empresarial, la Autoridad de Protección de Datos establece en sus directrices como criterio de referencia un plazo de conservación de aproximadamente cuatro semanas, a menos que exista un motivo concreto para conservar las imágenes más tiempo. Este criterio no consta literalmente en la ley, sino que es la forma en que la autoridad de control interpreta el principio de minimización de datos para esta situación específica. Quien conserva de forma estándar tres meses o más sin justificación alguna se aparta de ese criterio.
Por qué cuatro semanas y no más tiempo
El propósito de la videovigilancia suele ser la seguridad: prevenir robos, esclarecer allanamientos, poder reconstruir incidentes con personal o visitantes. Una vez que ese propósito deja de aplicarse, también desaparece el fundamento para conservar las imágenes. Cuatro semanas se considera el período en el que normalmente se detecta y comunica un incidente: un error de caja, una reclamación, un daño. Si conserva de forma estándar más tiempo, debe poder explicar por qué es necesario para su situación, por ejemplo porque los controles se realizan solo después de un ciclo más largo.
Cuándo sí se puede justificar un plazo más largo
Hay situaciones en las que un plazo de conservación más largo puede justificarse. Piense en imágenes que forman parte de una investigación en curso sobre un robo, una disputa con un proveedor en la que las imágenes sirven como prueba, o una solicitud de la policía en el contexto de un procedimiento penal. En estos casos, no conserva el conjunto completo de imágenes más tiempo, sino que aísla el fragmento relevante y elimina el resto conforme al plazo ordinario. Es mejor que documente esa selección y su justificación en el momento, no retroactivamente.
Las cámaras también deben constar en el registro de tratamiento
La videovigilancia es un tratamiento de datos personales como cualquier otro y, por lo tanto, debe constar como elemento separado en el registro de tratamiento: con el propósito, el plazo de conservación, quién tiene acceso a las imágenes y si se realiza transmisión a terceros (con posibilidad de captar imágenes de la vía pública, lo que requiere atención especial). Muchos empresarios olvidan este elemento porque no se trata de una herramienta SaaS o proveedor, sino de un sistema propio. En la base de conocimientos donde se han investigado los plazos de conservación según la situación la videovigilancia aparece como tema separado junto a otros plazos de conservación frecuentes.
Qué hacer si un empleado o cliente solicita las imágenes
Un interesado que aparece en las imágenes puede solicitar acceso. No es una solicitud excepcional: forma parte de los derechos ordinarios de los interesados. En términos prácticos, esto significa que debe poder mostrar o proporcionar las imágenes en las que aparece el solicitante, con las otras personas en las imágenes pixeladas o no identificables. Cuanto más corto sea su plazo de conservación, menor será la probabilidad de que tenga que organizarlo retroactivamente con una gran cantidad de material.
Imágenes de cámaras y una violación de datos
Un aspecto aparte, pero relevante: si se roba un disco duro con imágenes de cámaras, se hackea un sistema o las imágenes quedan accidentalmente ampliamente accesibles, en principio se trata de una violación de datos como cualquier otra. La cuestión de si debe comunicarse a la Autoridad de Protección de Datos depende del riesgo para las personas en las imágenes. Si tiene dudas al respecto, puede en cinco preguntas ver dónde se encuentra verificarlo.
Seguridad de las propias imágenes
Además del período de retención, también importa quién puede acceder a las imágenes. Un sistema al que todos en el piso pueden acceder con una sola contraseña no se ajusta bien al principio de que el acceso debe limitarse a quienes realmente lo necesitan. Obtenga más información sobre lo que es habitual en este sentido en cómo deben protegerse los datos como las imágenes de cámaras.
Si su período de retención actual y regulación de acceso se ajustan a su situación específica es algo que mejor discute con un abogado o, en caso de duda sobre la obligación de notificación, con la Autoridad Persoonsgegevens. Si primero desea hacerse una idea de dónde encaja la vigilancia por cámara en su registro y documentación, puede hacer el escaneo rápido gratuito o leer los temas relacionados con datos de personal y cámaras.