Por Agustín Yrigoyen González del Riego, socio de García Sayán Abogados
Dentro del marco de la Ley de Protección de Datos Personales, Ley N° 29733 (en adelante, la “Ley”) y su Reglamento aprobado por el Decreto Supremo N° 003-2013-JUS (en adelante, el “Reglamento”), mediante la Resolución Directoral N° 02-2020-JUS/DGTAIPD, de fecha 10 de enero de 2020, publicada en “El Peruano”, el 16 de enero de 2020, se aprobó la Directiva N° 01-2020-JUS/DGTAIPD (en adelante, la “Directiva”), que regula el tratamiento de datos personales por medio de los sistemas de videovigilancia. La Directiva entró en vigencia el 16 de marzo de 2020.
A continuación, se desarrollan algunas interrogantes que pueden ser de utilidad para determinar los alcances de la Directiva:
1.- ¿Cuál es el ámbito de aplicación de la Directiva?
La Directiva se aplica al tratamiento de datos de personas identificadas o identificables que son captadas a través de sistemas de videovigilancia como son la grabación, captación, transmisión, conservación o almacenamiento de imágenes o voces, incluyendo su reproducción o emisión en tiempo real o cualquier otro tratamiento que permita acceder a los datos personales relacionados con estos, para fines de seguridad, control laboral y otros.
Cabe señalar, que no se encuentran dentro del ámbito de aplicación de la Directiva, entre otros: (i) los tratamientos de datos de personas naturales identificadas o identificables a través de cámaras o videocámaras y sistemas de videovigilancia, creados por personas naturales para fines exclusivamente que tengan relación con su vida privada o familiar; (ii) los de la administración pública en tanto el tratamiento de datos personales resulte necesario para el estricto cumplimiento de las competencias asignadas por ley a las respectivas entidades públicas, para la defensa nacional, seguridad pública, y para el desarrollo de actividades en materia penal para la investigación y represión del delito; (iii) el tratamiento de imágenes vinculadas al ejercicio legítimo del derecho a la libertad de información y expresión por los medios de comunicación; y, (iv) los sistemas que involucren cámaras o videocámaras simuladas o desactivadas; sin embargo, si le será aplicable la Directiva en lo que se refiere a las medidas de seguridad del sistema.
2.- ¿Qué principios rigen el tratamiento de datos personales en los sistemas de videovigilancia?
El tratamiento de datos personales en los sistemas de videovigilancia se rige por los principios de proporcionalidad, seguridad, y, calidad, pues: (i) debe ser adecuado, pertinente y no excesivo en relación con el ámbito y las finalidades determinadas, legítimas y explícitas que hayan justificado la instalación de las cámaras o videocámaras; (ii) el responsable del tratamiento de los datos personales debe adoptar las medidas de índole técnica y organizativa necesarias para garantizar la seguridad de los datos personales y evitar su alteración, pérdida, tratamiento o acceso no autorizado; y, (iii) debe ser necesario, pertinente y adecuado respecto a la finalidad para la que fueron recopilados, conservándose solo por el tiempo necesario para cumplir con la finalidad que motivó su tratamiento.
3.- ¿Debe informarse la captación y/o grabación de las imágenes?
Sí, debe informarse la captación y/o grabación de las imágenes. Con este objeto debe colocarse en las zonas videovigiladas por lo menos un distintivo informativo que esté ubicado en un lugar visible, en espacios abiertos y cerrados, con las características e información que se señalan en la Directiva. En caso que la información no pueda ser colocada íntegramente en el cartel informativo, en el lugar videovigilado deberá tenerse a disposición de los interesados, sea a través de medios informáticos, digitalizados o impresos, la información mínima requerida para garantizar sus derechos.
4.- ¿Debe prevenirse la captación de imágenes de terceros ajenos a los fines de la captación?
Sí, debe prevenirse la captación de imágenes de terceros ajenos a los fines de la captación, para lo cual el titular del banco de datos personales o quien realice el tratamiento de los datos personales a través de los sistemas de videovigilancia es responsable por la implementación de mecanismos o medidas adecuadas para no afectar los derechos de terceros que aparezcan en las grabaciones. Asimismo, las cámaras o videocámaras instaladas en espacios privados no deben obtener imágenes de espacios públicos, salvo que sea imposible evitarlo, en cuyo caso la cámara debe captar únicamente la sección de la vía pública que resulte imprescindible para los fines de la vigilancia que se requiere realizar con el sistema instalado.
5.- ¿Debe inscribirse el banco de datos personales de sistemas de videovigilancia?
Sí, el banco de datos personales de sistemas de videovigilancia debe inscribirse ante la Dirección de Protección de Datos Personales, que es la unidad orgánica de la Dirección General de Transparencia, Acceso a la Información Pública y Protección de Datos Personales del Ministerio de Justicia y Derechos Humanos, encargada de la administración del Registro Nacional de Protección de Datos Personales. Para ello, la persona natural, jurídica o entidad pública que utilice un sistema de videovigilancia o cualquier dispositivo que permita el tratamiento de datos personales para el mencionado fin, deberá solicitar la inscripción del respectivo banco de datos personales ante la Dirección de Protección de Datos Personales, antes señalada.
6.- ¿La información grabada debe conservarse o almacenarse por un plazo determinado?
La información grabada; es decir, las imágenes y/o voces grabadas se almacenan por un plazo de treinta (30) días hábiles y hasta un plazo máximo de sesenta (60) días hábiles, salvo disposición diferente contenida en normas sectoriales. Una vez transcurrido el plazo máximo antes señalado y no existiendo requerimiento de alguna autoridad competente para entregar o visualizar el contenido de la grabación, se deben eliminar los archivos en el plazo máximo de dos (2) días hábiles, salvo disposición diferente contenida en normas sectoriales. El referido plazo máximo para la eliminación de la información no será aplicable cuando exista alguna finalidad o interés legítimo que justifique su conservación, así como alguna contingencia de orden técnico que justifique razonablemente el aplazamiento de la eliminación de la información por un periodo determinado o determinable.
7.- ¿Existen obligaciones sobre medidas de seguridad que deban cumplirse?
Las obligaciones sobre medidas de seguridad que debe cumplir la persona que opera o tiene acceso a cualquier sistema de cámaras de videovigilancia, en razón a sus funciones, básicamente son las siguientes: (i) contar con procedimientos de identificación y autentificación de usuarios que den cuenta del funcionamiento del centro de control y monitoreo del sistema de cámaras o videocámaras de videovigilancia, así como de las partes que lo componen y los equipos; (ii) conocer el funcionamiento correcto del sistema de videovigilancia; (iii) contar con el inventario documentado de las cámaras u otros dispositivos de videovigilancia; (iv) contar con un esquema y/o diagrama documentado de la arquitectura física y lógica del sistema de videovigilancia; (v) contar con documentación respecto a la gestión de accesos, privilegios y verificación periódica de privilegios asignados; (vi) contar con mecanismos de respaldo de seguridad de la información de carácter personal obtenida a través de sistema de videovigilancia y con un procedimiento que contemple la verificación de la integridad de los datos almacenados en el respaldo; (vii) implementar las medidas de seguridad en el caso que sea necesario transportar los sistemas o cámaras de videovigilancia que contengan información de carácter personal; y, (viii) otras obligaciones que las leyes o la normativa sobre protección de datos personales imponga.
8.- ¿De qué manera la persona titular del dato personal puede tener acceso a su información grabada?
Con el objeto de no afectar la protección de datos personales de terceros, la persona titular del dato personal puede escoger entre las siguientes alternativas para tener acceso a su información grabada: (i) solicitud escrita que presentará a la dirección física o electrónica que aparezca en el cartel o documento informativo, para lo cual el titular del dato personal debe precisar la fecha, rango de horas, lugar o cualquier otra información que permita facilitar la ubicación de la imagen requerida, y de ser necesario, deberá entregar una imagen actualizada de sí mismo que permita al titular o encargado del tratamiento del banco de datos personales verificar su presencia en el registro grabado; (ii) entrega de las imágenes, videos o audios, para lo cual deberá entregar un CD en blanco o dispositivo análogo al titular del banco de datos personales o al encargado del tratamiento de los datos personales con el objeto de que grabe su información; y; (iii) visualización en el sitio, para lo cual el titular del dato personal deberá acercarse físicamente a las instalaciones del titular del banco de datos personales o responsable del tratamiento de los datos personales para acceder directamente a la información, debiendo previamente presentar una solicitud escrita en la dirección física o electrónica que aparece en el cartel o documento informativo, indicando la fecha, rango de horas, lugar o cualquier otra información que permita facilitar la ubicación de la imagen, junto con una imagen actualizada de sí mismo que permita al titular del banco de datos personales o responsable del tratamiento de los datos personales verificar su presencia en el registro grabado.
9.- ¿Pueden transferirse datos personales captados por los sistemas de videovigilancia sin el consentimiento de su titular?
Los datos personales captados por los sistemas de videovigilancia pueden transferirse sin el consentimiento del titular de los mismos, en los siguientes casos: (i) cuando la comunicación de lo captado en los sistemas de videovigilancia deba ser entregado por orden judicial o a una entidad pública en cumplimiento de sus funciones; y, (ii) cuando deba ser puesto a disposición o sea requerido por la Policía Nacional del Perú o el Ministerio Público, en ejercicio de las competencias asignadas por la ley, en aquellos supuestos necesarios para la prevención, investigación, detección o represión de infracciones penales o delitos. En estos casos, la petición de las grabaciones debe ser motivada y el tratamiento de las mismas debe responder a la finalidad del requerimiento realizado.
10.- ¿La Directiva contempla tratamientos específicos de datos personales?
La Directiva regula los siguientes tratamientos específicos de datos personales: (i) con fines de seguridad para espacios públicos de uso privado, entidades financieras, y, entornos escolares; (ii) videovigilancia para el control laboral; (iii) con fines científicos o de investigación; y, (iv) otras tecnologías como es el caso de las cámaras conectadas a internet, y, mediante drones.
(i) Tratamiento de datos personales con fines de seguridad: (a) En lo concerniente a los espacios públicos de uso privado, como son los establecimientos comerciales, restaurantes, lugares de ocio, entre otros, la Directiva establece que el principio de proporcionalidad debe cumplirse estrictamente, encontrándose prohibida la instalación de cámaras en los baños y vestuarios. Y en los lugares de ocio el sistema de videovigilancia sólo puede ser visual, encontrándose prohibida la grabación de las conversaciones, y las imágenes captadas por los sistemas de videovigilancia no pueden ser utilizadas con fines comerciales o promocionales, salvo que cuente con el consentimiento de las personas que han sido grabadas; (b) en el caso de las entidades financieras, la Directiva precisa que lo captado a través de los sistemas de videovigilancia tienen que ser utilizados únicamente para fines de seguridad; y, (c) en lo relativo a los entornos escolares, la Directiva señala que la zona que es objeto de videovigilancia será la mínima indispensable para el fin de vigilancia requerido, pudiendo abarcar espacios públicos o comunes como accesos y pasillos, patio de recreo, comedores, pero siempre con el propósito de protección y defensa del interés superior del niño, niña y adolescente, no pudiendo instalarse cámaras de videovigilancia en espacios privados como baños, vestuarios o en aquellos espacios en los que se desarrollen actividades cuya captación pueda afectar la imagen o la intimidad de forma desproporcionada. Las imágenes se conservarán por un plazo máximo de treinta (30) días hábiles desde su captación; transcurrido el referido plazo únicamente podrán conservarse aquellas imágenes que revelen algún hecho trascendente que deba ser puesto en conocimiento de los padres de familia o tutores.
(ii) Tratamiento de datos personales mediante videovigilancia para el control laboral: Entre otros aspectos, la Directiva establece que, en la videovigilancia para el control laboral, el empleador se encuentra obligado a informar a sus trabajadores de los controles videovigilados, a través de carteles o avisos informativos, sin perjuicio de informar de manera individual a cada trabajador, si lo considera pertinente. Asimismo, la instalación de las cámaras o su ámbito de captación debe restringirse a los espacios indispensables para satisfacer las finalidades del control laboral; consecuentemente, en los lugares de descanso o esparcimiento de los trabajadores, vestuarios, servicios higiénicos, comedores o análogos, no se admite la instalación de sistemas de grabación o captación de sonido ni de videovigilancia, conforme así lo precisa la Directiva. La Directiva asimismo señala que las imágenes captadas a través de los sistemas de videovigilancia laboral no pueden ser utilizados con fines comerciales o publicitarios, salvo consentimiento de los trabajadores. Y en lo que se refiere al almacenamiento de las imágenes y/o voces grabadas esto debe ser por un plazo de treinta (30) días hábiles y hasta un plazo máximo de sesenta (60) días hábiles, salvo disposición distinta de las normas laborales. En caso de no existir requerimiento de alguna autoridad competente para entregar o visualizar el contenido de la grabación, transcurrido el referido plazo de sesenta (60) días hábiles, los archivos de las grabaciones se eliminan en el plazo máximo de dos (2) días hábiles, salvo disposición diferente de norma sectorial.
(iii) Tratamiento de datos personales con fines científicos o de investigación: En estos casos, la Directiva establece que deben cumplirse con los principios y reglas establecidas en la Ley, el Reglamento y en la Directiva, en especial los principios de consentimiento, proporcionalidad y finalidad, como las medidas técnicas y organizativas que garanticen la seguridad de la información de los datos personales.
(iv) Tratamiento de datos personales con otras tecnologías: (a) En el caso de las cámaras conectadas a internet la Directiva establece que el titular del banco de datos personales o el encargado del tratamiento de los datos personales debe revisar si las funciones de identificación y autenticación se encuentran activadas para evitar el acceso de terceros a las imágenes y garantizar que sólo puedan acceder los usuarios autorizados, así como también, se garantice la seguridad en el acceso por medio de redes públicas de comunicaciones; y, (b) en lo que se refiere al manejo de drones con fines de videovigilancia, la Directiva señala que las personas que tengan a su cargo estos sistemas de videovigilancia deben tener la formación especializada en su manejo, garantizando reserva y confidencialidad, y cumplir con las demás obligaciones establecidas en la Directiva para los sistemas de videovigilancia. En tal sentido, el titular del banco de datos personales, el responsable o el encargado del tratamiento de los datos personales debe informar a las personas controladas con los sistemas de videovigilancia por medio de drones, lo cual alcanza también a las personas o entidades que brinden el servicio de videovigilancia por medio de drones de manera complementaria al servicio de videovigilancia principal. Esta información debe ser entregada de manera física o electrónica al momento de suscribirse el contrato de videovigilancia con la persona o entidad que preste el servicio por medio de drones. Asimismo, deberá utilizarse los sistemas de carteles o folletos cuando corresponda, indicándose gráficamente el dibujo del medio de videovigilancia utilizado (drones), que aparece en la Directiva.
11.- ¿Existen sanciones administrativas por el incumplimiento de las normas contenidas en la Ley y su Reglamento, y por ende de la Directiva?
El Artículo 39° de la Ley, establece que la Autoridad Nacional de Protección de Datos Personales puede aplicar las multas que se detallan a continuación de acuerdo al tipo de infracción; sin embargo, en ningún caso, la multa impuesta puede exceder del 10% de los ingresos brutos anuales que hubiera percibido el presunto infractor durante el ejercicio anterior: (i) infracciones leves son sancionadas con una multa mínima de 0,5 de 1 Unidad Impositiva Tributaria (UIT) hasta 5 UIT (actualmente de S/ 2,150.00 hasta S/ 21,500.00); (ii) infracciones graves son sancionadas con una multa desde más de 5 UIT hasta 50 UIT (actualmente de S/ 21,501.00 hasta S/ 215,000.00); y, (iii) las infracciones muy graves son sancionadas con una multa desde más de 50 UIT hasta 100 UIT (actualmente de S/ 215,001.00 hasta S/ 430,000,00). Cabe señalar, que durante el año 2020 el valor de la UIT es de S/ 4,300.00
De acuerdo con el inciso 12° del Artículo 33° de la Ley, es función de la Autoridad Nacional de Protección de Datos Personales emitir las directivas que correspondan para la mejor aplicación de lo previsto en la Ley y su Reglamento, especialmente en materia de seguridad de los bancos de datos personales, así como supervisar su cumplimiento, en coordinación con los sectores involucrados. En consecuencia, las sanciones administrativas, antes señaladas, son aplicables al tratamiento de datos personales mediante sistemas de videovigilancia que regula la Directiva en caso de incumplimiento de las normas que contiene, ya que la misma ha sido aprobada en el marco de la normativa sobre protección de datos personales prevista en la Ley y su Reglamento.
Fuente de imagen: El Derecho
