Se ha visto obligado a resolver algunas cuestiones en relación con los sistemas de reconocimiento facial integrados en sistemas de videovigilancia, llegando a algunas conclusiones inequívocas con el actual marco normativo.

¿Está sujeta la videovigilancia a la normativa de Protección de Datos?
Sí. Aunque la principal cuestión es determinar si la seguridad privada, como auxiliar de la seguridad pública, pudiera estar sujeta a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos y, en consecuencia, exenta de la aplicación del Reglamento Europeo de Protección de datos (RGPD).

La respuesta es clara y evidente, la seguridad privada está sujeta a la normativa de protección de datos sin exención alguna, ya que la Directiva 2016/680 está destinada, exclusivamente, a las autoridades competentes.

Sin perjuicio de que las grabaciones realizadas por los sistemas de videovigilancia, cuando las mismas se encuentren relacionadas con hechos delictivos o que afecten a la seguridad ciudadana, se aportarán, de propia iniciativa o a su requerimiento, a las Fuerzas y Cuerpos de Seguridad competentes, respetando los criterios de conservación y custodia de las mismas para su válida aportación como evidencia o prueba en investigaciones policiales o judiciales.

Además, se establece en la misma norma que la monitorización, grabación, tratamiento y registro de imágenes y sonidos por parte de los sistemas de videovigilancia estará sometida a lo previsto en la normativa en materia de protección de datos de carácter personal, y especialmente a los principios de proporcionalidad, idoneidad e intervención mínima.

¿Los sistemas de reconocimiento facial son también sistemas de videovigilancia?
No. El reconocimiento facial es un dato de carácter biométrico que identifica, de manera inequívoca, a una persona, por tanto, es un dato de categoría especial y no un dato de carácter personal ordinario.
Los sistemas de videovigilancia son, por definición, una estructura de captación de imágenes, e incluso sonido, en un espacio concreto, cuyas imágenes puedan ser visualizadas, grabadas y/o reproducidas, sin que pueda por sí mismo revelar la identidad de las personas.

¿Se podrían instalar sistemas de reconocimiento facial en sistemas de videovigilancia?
Sí. Pero sólo cuando exista una excepción legal que lo habilite.
Tal como se recoge en el artículo 9.2 de la LOPDGDD, cuando el tratamiento es necesario:
“deberán estar amparados en una norma con rango de ley, que podrá establecer requisitos adicionales relativos a su seguridad y confidencialidad”.

Por lo cual, el tratamiento de datos biométricos al amparo del artículo 9.2.g) requiere que esté previsto en una norma con rango de ley. Como incide la AEPD, dicha ley deberá especificar el interés público esencial que justifica la restricción del derecho a la protección de datos personales y en qué circunstancias puede limitarse, estableciendo las reglas precisas que hagan previsible al interesado la imposición de tal limitación y sus consecuencias, sin que sea suficiente, a estos efectos, la invocación genérica de un interés público. Además, deberá establecer las garantías adecuadas de tipo técnico, organizativo y procedimental, que prevengan los riesgos de distinta probabilidad y gravedad y mitiguen sus efectos.

¿Existe alguna excepción legislativa para que el personal de seguridad privada pueda operar sistemas de reconocimiento facial?
Por el momento, no.
Sin embargo, la AEPD considera que, en el exclusivo supuesto de las infraestructuras críticas, podría quedar justificado el empleo de sistemas de reconocimiento facial siempre que la legislación, en los términos anteriormente señalados, así lo prevea, entendiéndose por infraestructuras críticas, de conformidad a la Ley 8/2011, de 28 de abril, por la que se establecen medidas para la protección de las infraestructuras críticas, aquéllas cuyo “funcionamiento es indispensable y no permite soluciones alternativas, por lo que su perturbación o destrucción tendría un grave impacto sobre los servicios esenciales”.