Protección de datos. Instalación de cámaras en edificios no públicos. Requisitos para la licitud del tratamiento
Protección de datos. Instalación de cámaras de videovigilancia en zonas comunes de un edificio aprobada por la comunidad de propietarios.
Un sistema de videovigilancia mediante cámaras debe calificarse de tratamiento automatizado de datos personales en el sentido del artículo 3.1 de la Directiva 95/46 cuando el dispositivo instalado permita grabar y almacenar datos personales, como imágenes con las que pueda identificarse a personas físicas. Todo tratamiento de datos personales debe, por una parte, ser conforme con los principios relativos a la calidad de los datos, enunciados en el artículo 6 de la Directiva 95/46, y, por otra, responder a alguno de los principios relativos a la legitimación del tratamiento de datos, enumerados en el artículo 7 de dicha Directiva. Este último artículo prevé una lista exhaustiva y taxativa de los casos en los que un tratamiento de datos personales puede considerarse lícito.
Los Estados miembros no pueden añadir a dicho artículo nuevos principios relativos a la legitimación de los tratamientos de datos personales ni imponer exigencias adicionales que vendrían a modificar el alcance de alguno de los seis principios establecidos en dicho artículo. De ello se deduce que, para poder ser considerado legítimo, el tratamiento de datos personales debe estar comprendido en uno de los seis casos contemplados en el mencionado artículo 7 de la Directiva 95/46.
La letra f) de este artículo fija tres requisitos acumulativos para que el tratamiento de datos personales resulte lícito: primero, que el responsable del tratamiento o el tercero o terceros a quienes se comuniquen los datos persigan un interés legítimo; segundo, que el tratamiento de datos personales sea necesario para la satisfacción de ese interés legítimo; y, tercero, que no prevalezcan sobre el interés legítimo perseguido los derechos y libertades fundamentales del interesado en la protección de los datos. Procede subrayar que en esta letra f) no se requiere el consentimiento de la persona interesada, consentimiento que únicamente figura en la letra a) como requisito al que está supeditado el tratamiento de datos personales. El órgano jurisdiccional remitente debe comprobar que el interés legítimo del tratamiento de datos, perseguido por la videovigilancia controvertida en el litigio principal y consistente, en esencia, en garantizar la seguridad de los bienes y de las personas y en prevenir la comisión de delitos, no puede alcanzarse razonablemente de manera tan eficaz por otros medios menos atentatorios respecto de los derechos y libertades fundamentales de los interesados, en particular respecto de los derechos al respeto de la vida privada y de protección de los datos personales, garantizados por los artículos 7 y 8 de la Carta. El requisito relativo a la necesidad del tratamiento implica que el responsable del tratamiento debe examinar, por ejemplo, si basta con que la videovigilancia solo funcione de noche o fuera de las horas normales de trabajo, y bloquear o difuminar las imágenes tomadas en las zonas que no sea necesario vigilar.
La Directiva 95/46 se opone a que un Estado miembro excluya de manera categórica y generalizada la posibilidad de someter a tratamiento determinadas categorías de datos personales, sin permitir una ponderación de los derechos e intereses en conflicto en cada caso concreto. Un Estado miembro no puede establecer con carácter definitivo el resultado de la ponderación de los derechos e intereses en conflicto respecto de tales categorías sin permitir un resultado diferente en atención a las circunstancias particulares de cada caso concreto. Cabe tomar en consideración, a efectos de esta ponderación, el hecho de que la gravedad de la lesión de los derechos fundamentales de la persona afectada por el tratamiento en cuestión puede variar en función de si es posible acceder a los datos de que se trate a través de fuentes ya disponibles para el público. Los tratamientos de datos que figuran en fuentes no accesibles al público implican que el responsable del tratamiento y, en su caso, el tercero o terceros a quienes se comuniquen los datos dispondrán en lo sucesivo de ciertas informaciones sobre la vida privada del interesado. Esta lesión, más grave, de los derechos del interesado consagrados en los artículos 7 y 8 de la Carta debe ser apreciada en su justo valor, contrapesándola con el interés legítimo perseguido por el responsable del tratamiento o por el tercero o terceros a los que se comuniquen los datos.