Geolocalizacion y LOPD


En la Resolución de la Agencia Española de Protección de Datos nº 956/2013, dictada en el Procedimiento de declaración de infracciones de Administraciones Públicas nº AP/40/2012 se trata el tema de la geolocalización en relación con la normativa de protección de datos.

Por una denuncia presentada frente al Ayuntamiento de Dos Hermanas, la Agencia Española de Protección de Datos terminó dictando una resolución en la que se declaraba que el referido Ayuntamiento había infringido el artículo 5.1  de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de datos de carácter personal (LOPD), incurriendo en una sanción leve. A consecuencia de ello, se requirió a la Administración local para que corrigiera la conducta contraria a Derecho.

¿Qué problema se planteó? Fue una cuestión con la que me he encontrado ya varias veces, en el caso de clientes de cierto tamaño que cuentan con importantes flotas de vehículos, como elementos esenciales para desarrollar su actividad (vehículos de comerciales, vehículos de transportes, vehículos para distribución de mercancías, etc…).

No son pocas las empresas que ven la necesidad de ejercer un control efectivo sobre estos instrumentos de trabajo, instalando GPS en los mismos para poder localizarlos en cada momento.

Justo este fue el supuesto que se planteo en el procedimiento contra el Ayuntamiento de Dos Hermanas.

El Ayuntamiento lo que hizo fue instalar GPS en los vehículos de la policía local. ¿Y dónde está entonces el problema jurídico?

El problema jurídico está en que el Ayuntamiento no informó previamente de este hecho a los policías ni a las secciones sindicales, incurriendo en una vulneración del artículo 5.1 LOPD.

Este precepto, referido al derecho de información, indica claramente que:

Los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco:

a) De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información.

b) Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.

c) De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.

d) De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición.

e) De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.

¿Y acaso –podrás estar pensando- un GPS recoge datos de carácter personal de alguien?

Trata toda esta cuestión la resolución comentada, refiriéndose a un informe dictado anteriormente por los servicios jurídicos de la Agencia (informe de 28 de junio de 2012), y llegando a la conclusión de que la instalación de un GPS en vehículos para sistemas de geolocalización sí supone un tratamiento de datos referidos a personas que pueden ser perfectamente identificables (en el caso comentado, lo serían los agentes de policía que ocupan el vehículo en cada servicio). Así exactamente lo exponía la Agencia en el mencionado informe:

De los términos de la consulta parece que estamos ante un tratamiento automatizado de datos identificativos de las personas, por cuanto, aunque se manifiesta que el tratamiento aparece referenciado a los vehículos policiales, podemos deducir que cabrá la posibilidad de asociar la posición de los mismos con los miembros de la policía que estén haciendo uso de tales vehículos, su identidad.

Además, añade la resolución que estamos viendo que:

Como se refleja en el Informe Jurídico de esta Agencia arriba transcrito  estamos ante un tratamiento automatizado de datos de carácter personal porque es posible, sin un esfuerzo desproporcionado, asociar la posición de los vehículos policiales, su localización, con los miembros de la policía que estén haciendo uso de tales vehículos, su identidad.

Y en consecuencia, existiendo un tratamiento de datos personales, debió informarse a los afectados sobre todos los extremos citados en el artículo 5.1 LOPD, cosa que no se realizó.

Por tanto, mucho ojo si te has instalado o vas  a instalar este tipo de dispositivos en los vehículos que utiliza tu plantilla, pues deberás cumplir varios requisitos legales, entre ellos el deber de información.

Mejor asesórate, sobre todo porque no es probable que corras la misma suerte que un Ayuntamiento infractor: a ellos los requieren para que corrijan el defecto, a ti casi con toda seguridad, te multarán directamente.

Y claro, estamos hablando de multas comprendidas entre los 900 y los 40.000 euros.

Trabajadores y videovigilancia


Según la definición de dato de carácter personal que hace el artículo 5.1.f) del RLOPD, hemos de partir de que las imágenes se consideran datos de carácter personal, al poder serlo cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables.

El artículo  2 de la instrucción 1/2006, de 8 de noviembre, de la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras, se remite en cuanto a la legitimación para el tratamiento de imágenes a lo dispuesto en el artículo 6.1 y 2 de la LOPD, donde se establece que “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”, sin perjuicio de que dicho consentimiento podrá quedar excluido, de acuerdo con lo dispuesto por el artículo 6.2 cuando el tratamiento sea necesario para el adecuado desenvolvimiento de la relación laboral de los trabajadores con la empresa.

Si la finalidad de la captación de las imágenes es controlar la actividad laboral, hay que estar al artículo 20.3 del el Real Decreto Legislativo 1/1995, de 24 de marzo, por el que se aprueba el texto refundido de la Ley del Estatuto de los Trabajadores (en adelante ET) y que dispone que “El empresario podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad humana y teniendo en cuenta la capacidad real de los trabajadores disminuidos, en su caso”.

Además, conforme a la doctrina del Tribunal Supremo, en Sentencia de 18 de junio de 2006, dichas medidas (como las relacionadas con la utilización de Internet y correo electrónico) deben haber sido hechas constar expresamente al trabajador, pasando así a formar parte de la propia relación laboral y siendo el tratamiento de los datos necesario para su adecuado desenvolvimiento.

De todo ello se desprende que la aplicación del artículo 20.3 ET no legitima por sí solo el tratamiento de las imágenes, si bien éste será posible, aún sin contar con el consentimiento del afectado en caso de que el trabajador haya sido debidamente informado de la existencia de esta medida, debiendo además ser claro que, conforme a lo exigido por el artículo 4.2 LOPD, los datos no podrán ser utilizados para fines distintos.

Se plantea la cuestión de cómo ha de cumplirse el deber de informar, pues el tratamiento de las imágenes por el responsable del tratamiento, le obliga a cumplir con dicho deber, en los términos establecidos en el artículo 5.1 de la LOPD, que dispone que “los interesados a los que se soliciten datos personales deberán ser previamente informados de modo expreso, preciso e inequívoco: a) De la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de éstos y de los destinatarios de la información; b) Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas; c) De las consecuencias de la obtención de los datos o de la negativa a suministrarlos; d) De la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición; e) De la identidad y dirección del responsable del tratamiento o, en su caso, de su representante.

En  este punto debe tenerse en cuenta la modalidad de cumplimiento del deber de información en materia de videovigilancia que recoge el artículo 3 de la Instrucción 1/2006:

 Los responsables que cuenten con sistemas de videovigilancia deberán cumplir con el deber de información previsto en el artículo 5 de La Ley Orgánica 15/1999, de 13 de diciembre. A tal fin deberán:

a)   Colocar, en las zonas videovigiladas, al menos un distintivo informativo ubicado en lugar suficientemente visible, tanto en espacios abiertos como cerrados y

b)   Tener a disposición de los/las interesados/as impresos en los que se detalle la información prevista en el artículo 5.1 de la Ley Orgánica 15/1999.

El contenido y el diseño del distintivo informativo se ajustará a lo previsto en el Anexo de esta Instrucción.”

Por tanto, la Instrucción prevé dos formas de cumplir con el deber de informar en materia de videovigilancia. Además como se ha señalado anteriormente si la videovigilancia se efectúa para el control laboral, amparado sólo en el Estatuto de los Trabajadores, deberá informarse al trabajador y al comité de empresa.

En este punto, tengo además que hacer referencia a una sentencia muy reciente del Tribunal Constitucional, la nº 29/2013, de 11 de febrero. De hecho, quiero recoger las siguientes conclusiones, a tener en cuenta por empresarios y profesionales:

1ª. En la sentencia mencionada, se planteó el supuesto de una entidad que utilizó el sistema de videovigilancia de un edificio para controlar a uno de sus empleados, que venía incumpliendo sus obligaciones laborales. Estas grabaciones finalmente se utilizaron para sancionar al trabajador y como prueba en un procedimiento judicial.

2ª. En este recurso se discutía si la grabación y uso de esas imágenes en un expediente disciplinario (que llegó a los tribunales) vulnera el derecho fundamental a la protección de datos reconocida en el artículo 18.4 de la Constitución Española. En concreto, se planteaba que se habría vulnerado el derecho a la autotutela informativa, es decir: el derecho a ser informado sobre el tratamiento que se pretendía dar a las  imágenes recogidas por el sistema de videovigilancia.

3ª. No hay que perder de vista, que al centrarse el recurso en el artículo 18.4 citado, lo que estamos analizando es lo siguiente (cita literal de la STC): el derecho fundamental a la protección de datos persigue garantizar a esa persona un poder de control sobre sus datos personales, sobre su uso y destino, con el propósito de impedir su tráfico ilícito y lesivo para la dignidad y derecho del afectado … Pero ese poder de disposición sobre los propios datos personales nada vale si el afectado desconoce qué datos son los que se poseen por terceros, quiénes los poseen, y con qué fin.

Lo que significa que el derecho de información en este tema es el eje central del recurso.

4ª. En los párrafos de la sentencia que reproduzco a continuación, se encuentra la clave del razonamiento del Tribunal:

Ese derecho de información opera también cuando existe habilitación legal para recabar los datos sin necesidad de consentimiento, pues es patente que una cosa es la necesidad o no de autorización del afectado y otra, diferente, el deber de informarle sobre su poseedor y el propósito del tratamiento. Es verdad que esa exigencia informativa no puede tenerse por absoluta, dado que cabe concebir limitaciones por razones constitucionalmente admisibles y legalmente previstas, pero no debe olvidarse que la Constitución ha querido que la ley, y sólo la ley, pueda fijar los límites a un derecho fundamental, exigiendo además que el recorte que experimenten sea necesario para lograr el fin legítimo previsto, proporcionado para alcanzarlo y, en todo caso, respetuoso con el contenido esencial del derecho fundamental restringido (SSTC 57/1994, de 28 de febrero, FJ 6; 18/1999, de 22 de febrero, FJ 2, y en relación con el derecho a la protección de datos personales, STC 292/2000, FFJJ 11 y 16).

En aplicación de esa doctrina, concluimos que no hay una habilitación legal expresa para esa omisión del derecho a la información sobre el tratamiento de datos personales en el ámbito de las relaciones laborales, y que tampoco podría situarse su fundamento en el interés empresarial de controlar la actividad laboral a través de sistemas sorpresivos o no informados de tratamiento de datos que aseguren la máxima eficacia en el propósito de vigilancia.

 5ª. La Sentencia indica que no es suficiente con que existieran carteles informativos sobre la existencia de las cámaras, ni que se hubiera notificado la existencia del fichero a la Agencia Española de Protección de Datos.

6º. Por último se aclara que la información que debió darse al trabajador habría de cumplir los siguientes requisitos:

…era necesaria además la información previa y expresa, precisa, clara e inequívoca a los trabajadores de la finalidad de control de la actividad laboral a la que esa captación podía ser dirigida. Una información que debía concretar las características y el alcance del tratamiento de datos que iba a realizarse, esto es, en qué casos las grabaciones podían ser examinadas, durante cuánto tiempo y con qué propósitos, explicitando muy particularmente que podían utilizarse para la imposición de sanciones disciplinarias por incumplimientos del contrato de trabajo.

CONCLUSIÓN FINAL: Se consideran como pruebas inconstitucionales (y por tanto nulas e inválidas en juicio para acreditar un incumplimiento laboral del trabajador) las imágenes captadas por sistemas de videovigilancia para control empresarial, cuando no se ha procedido a informar previa y exhaustivamente al trabajador sobre la finalidad de la grabación y demás circunstancias mencionadas en la Sentencia del TC. Y esto sería tan aplicable a las grabaciones que se hacen por el sistema ordinario y “visible” de videovigilancia, como a los sistemas “secretos” de videovigilancia, (ejemplo: uso de cámaras camufladas para comprobar sustracciones de dinero de la caja).

En consecuencia, para poder utilizar las grabaciones como prueba válida en juicio, se tiene que proceder a cumplir el deber de información, mediante la correspondiente nota informativa que se hará llegar al trabajador, acreditándose su recepción por el mismo.

Asimismo, en mi opinión, se deberá proceder a inscribir ante la AEPD un fichero específico de grabación de imágenes de trabajadores con la finalidad exclusiva del ejercicio del control empresarial ante sospechas de incumplimientos de obligaciones laborales por parte del personal.