INSTRUCCIÓ

1/2009, de 10 de febrer, sobre el tractament de dades de caràcter personal mitjançant càmeres amb fins de videovigilància. (Correcció d'errades en el DOGC núm. 5344, pàg. 24542, de 23.3.2009).

NOTA. En aquest text s'han introduït les correccions d'errada publicades en el DOGC.

La proliferació de dispositius de videovigilància en diferents àmbits, no només amb fins de seguretat, pública o privada, sinó també amb altres finalitats com ara la regulació i el control del trànsit, el control en l'àmbit laboral o el control del normal funcionament de determinats serveis públics, juntament amb l'evolució dels mitjans tècnics de captació, amb possibilitats d'identificació, manipulació o difusió de gran abast i amb costos econòmics cada cop menors, ha donat lloc a l'adopció de diferents iniciatives a nivell internacional. En són exemples el Dictamen 4/2004, d'11 de febrer, del Grup de treball previst a l'article 29 de la Directiva 95/46/CE, relatiu al tractament de dades personals mitjançant vigilància per videocàmera; la Conferència internacional d'autoritats de protecció de dades de l'any 2006 a Londres; o les opinions adoptades en data 17 de març i 2 de juny de 2007 per la Comissió de Venècia, en el si del Consell d'Europa, sobre videovigilància en espais públics i videovigilància en espais privats, que han posat de manifest la necessitat d'adequar la utilització d'aquests mitjans de vigilància a les exigències derivades de la privacitat.

D'acord amb la definició de dada de caràcter personal de l'article 3.a) de la Llei orgànica 15/1999, de 13 de desembre, de protecció de dades de caràcter personal (LOPD), la imatge o la veu constitueixen dades de caràcter personal i, per tant, els són de plena aplicació les previsions d'aquesta Llei orgànica. Ara bé, l'absència de previsions específiques a la normativa de protecció de dades respecte a la captació i al tractament de les imatges, i si escau de les veus, fa necessària la concreció en aquest àmbit dels principis i les garanties que estableix la LOPD mitjançant un instrument que, com aquesta Instrucció, n'aclareixi el marc jurídic aplicable, en l'àmbit d'actuació de l'Agència Catalana de Protecció de Dades, per aportar seguretat jurídica en aquesta matèria i una major concreció d'aquelles qüestions que així ho requereixen.

S'ha de fer referència a la regulació dels tractaments de videovigilància feta per les forces i cossos de seguretat per tal de contribuir a la convivència ciutadana, la lluita contra la violència, la utilització pacífica de les vies i espais públics, com també per a la prevenció de delictes, faltes i infraccions relacionades amb la seguretat pública. La Llei orgànica 4/1997, de 4 d'agost, per la qual es regula la utilització de videocàmeres per les forces i cossos de seguretat ciutadana en llocs públics, es va desplegar a Catalunya pel Decret 134/1999, de 18 de maig, de regulació de la videovigilància per part de la policia de la Generalitat i de les policies locals de Catalunya, i per l'Ordre de 29 de juny de 2001, de regulació dels mitjans pels quals s'informa de l'existència de videocàmeres fixes instal·lades per la policia de la Generalitat i les policies locals de Catalunya en llocs públics. Respecte a aquest àmbit i en virtut de la remissió que fa l'article 2.2 d'aquesta Llei orgànica, la normativa de protecció de dades, i en conseqüència també aquesta Instrucció, és només d'aplicació a aquelles qüestions que no es regulin específicament en aquella normativa, com ara el deure de crear el fitxer corresponent i notificar-lo al Registre de protecció de dades de Catalunya en aquells supòsits que no estiguin sotmesos a inscripció al Registre previst en aquella normativa específica, l'aplicació de les mesures de seguretat o l'exercici dels drets de rectificació i oposició.

El tractament d'imatges per al control, la regulació, la vigilància i la disciplina del trànsit que, en virtut de la disposició addicional vuitena de la Llei orgànica 4/1997, se sotmet expressament a la legislació de protecció de dades i de protecció del dret a l'honor, la intimitat i la pròpia imatge, en el marc de la Llei orgànica citada, mereix un esment a part.

El tractament de la imatge i de la veu de les persones físiques amb finalitats de vigilància pot suposar una ingerència en determinats drets fonamentals de les persones, regulats al Títol I de la Constitució, fonamentalment els drets a l'honor, a la intimitat i a la pròpia imatge i el dret a la protecció de dades de caràcter personal, però també altres drets com la llibertat de circulació, el dret a la no-discriminació i, en definitiva, la mateixa dignitat humana (SSTEDH de 28 de gener de 2003 i de 4 de març de 2008). Si bé resulta necessari admetre la possibilitat de recórrer a la videovigilància quan concorri algun dels supòsits legalment previstos (article 6.2 LOPD), aleshores adquireix una importància especial el principi de qualitat de les dades i, en concret, el principi de proporcionalitat. A tenor d'aquest darrer principi, una mesura intrusiva com la que estem analitzant només es pot considerar constitucionalment legítima si resulta proporcionada a través d'una triple anàlisi de la necessitat de la mesura, la seva idoneïtat i el seu caràcter proporcional en sentit estricte. És a dir, quan no es pugui assolir la mateixa finalitat mitjançant mesures menys intrusives o que comportin menys riscs per a les persones (STEDH de 28 de gener de 2003, les SSTC 37/1998, 98/2000, o 186/2000, entre moltes altres) .

Conscients de la dificultat amb què es troben les persones responsables de fitxers o tractaments de dades a l'hora de ponderar els beneficis, els riscs i les afeccions que, per als diferents drets en joc, pot produir la videovigilància, aquesta Instrucció pretén donar més elements de judici o de valoració als responsables, a l'hora de prendre la decisió sobre la implantació d'aquests sistemes.

Precisament amb aquest objectiu s'ha de destacar la previsió que fa aquesta Instrucció d'elaborar una memòria amb caràcter previ a l'aprovació del fitxer, com a eina per fer una anàlisi completa i sistemàtica de les característiques del tractament que es vol dur a terme i de les circumstàncies concurrents, que compleixi no només una funció formal de motivació de la mesura sinó que permeti una avaluació acurada amb caràcter previ a la presa de la decisió, com una garantia per a la ciutadania i alhora com a una garantia de l'encert de la mesura per a la consecució de l'interès públic.

Per altra banda, s'ha de destacar també la previsió de la possibilitat de sol·licitar un informe a l'Agència Catalana de Protecció de Dades en el procés d'implantació del sistema de videovigilància, com a mesura que ofereix majors garanties a l'hora d'assegurar el compliment de la normativa en matèria de protecció de dades en els tractaments que es realitzi.

Però la concurrència d'un dels supòsits habilitadors legalment previstos i el compliment del principi de proporcionalitat no són suficients per a la utilització legítima de càmeres amb finalitats de videovigilància. A més, la captació i el tractament posterior s'han de realitzar d'acord amb unes garanties que assegurin el respecte als drets de les persones i minimitzin els riscs generats pel tractament.

Pel que fa als drets de les persones reconeguts a la normativa de protecció de dades, aquesta Instrucció posa un èmfasi especial en el dret de les persones a ser informades de l'existència d'aquests sistemes de videovigilància. Es tracta d'un dret reconegut amb caràcter general a la LOPD, però que en aquest àmbit adquireix unes connotacions especials que requereixen l'adaptació de les previsions legals a aquest supòsit concret, per tal de fer-ne possible el compliment. En aquesta Instrucció també es concreten les especialitats en l'exercici dels drets d'accés, rectificació, cancel·lació i oposició.

D'altra banda, per tal de minimitzar els riscs, es recullen aquí les previsions necessàries per adaptar les mesures de seguretat que preveu la normativa de protecció de dades a la naturalesa especial de les dades tractades per aquests sistemes. Mesures que, en principi, seran les aplicables als tractaments automatitzats, tot i que quan es tracti de sistemes de gravació que no emprin tecnologia digital, malgrat la utilització d'aparells tècnics, resultarà més adequada la implantació de les mesures previstes per als tractaments no automatitzats, en atenció a les possibilitats de tractament més limitades que ofereix la tecnologia analògica. Pel que fa al nivell aplicable, atesa la consideració de la imatge i la veu com a dades identificatives, serà en principi el nivell bàsic, sens perjudici que quan en el tractament dut a terme sigui especialment rellevant alguna de les circumstàncies que requereixen l'aplicació de mesures de nivell mitjà o nivell alt s'hagi d'aplicar el nivell que correspongui.

Aquesta Instrucció es dicta d'acord amb el que disposen l'article 5.1.c) de la Llei 5/2002, de 19 d'abril, de l'Agència Catalana de Protecció de Dades, i l'article 15.1.e) del Decret 48/2003, de 20 de febrer, pel qual s'aprova l'Estatut de l'Agència Catalana de Protecció de Dades. Per a la seva tramitació s'ha sotmès a informació pública, a informe de la Secretaria de Seguretat del Departament de Relacions Institucionals i Participació, de l'Institut Català de les Dones, del Consell Assessor de Protecció de Dades de Catalunya i de la Comissió Jurídica Assessora, complint el que estableixen els articles 63 i 64 de la Llei 13/1989, de 14 de desembre, d'organització, procediment i règim jurídic de l'Administració de la Generalitat de Catalunya.

Per tot això exposat, i d'acord amb el dictamen de la Comissió Jurídica Assessora, disposo la següent

Instrucció:

Capítol 1

Disposicions generals

Article 1

Objecte

1.1 Aquesta Instrucció s'aplica al tractament de les dades personals consistents en imatges, i si escau, en veus, de persones físiques identificades o identificables amb finalitats de videovigilància mitjançant càmeres o altres mitjans tècnics anàlegs.

1.2 Sens perjudici de l'aplicabilitat de la legislació de protecció de dades i la de protecció del dret a l'honor, la intimitat i a la pròpia imatge, si escau, queden excloses d'aquesta Instrucció:

a) Les captacions d'imatges la definició o característiques de les quals no permeti identificar persones determinades.

b) La captació d'imatges amb sistemes de videoporter, sempre que s'activin només durant el període necessari per identificar les persones que pretenguin accedir a l'immoble i no s'enregistrin les imatges.

c) Les captacions d'imatges amb fins exclusivament periodístics.

d) La instal·lació de càmeres falses que no siguin aptes per captar imatges.

e) Els altres tractaments d'imatges o imatges i sons que no tinguin finalitats de videovigilància.

Article 2

Definicions

Als efectes d'aquesta Instrucció, s'entén per:

a) Tractament: la captació, inclosa l'emissió en temps real, la gravació, la modificació, la comunicació, l'emmagatzemament i les elaboracions posteriors d'imatges, i si escau de veus, amb independència del suport emprat, com també la seva cancel·lació, bloqueig i supressió.

b) Captació: l'obtenció d'imatges, i si escau de veus, inclosa l'emissió en temps real, independentment del sensor utilitzat.

c) Emmagatzematge: la gravació sobre un suport reproduïble de tota o part d'una imatge o una veu.

d) Persona identificable: una persona es considera identificable quan pot ser identificada directament a través d'una imatge del seu cos, o de la seva veu, o indirectament a través d'altres imatges com per exemple codis, identificadors, matrícules o altres que per elles mateixes, o posades en relació amb altres dades, permetin identificar una persona sense que això requereixi terminis o esforços desproporcionats.

e) Videovigilància: captació d'imatges, i si escau de veus, a través d'un sistema de càmeres fixes o mòbils que tinguin per finalitat la vigilància o el control en edificis, instal·lacions, vehicles o altres espais públics o privats, per raons de seguretat pública o privada, control del trànsit, control laboral, assegurament del funcionament normal de determinats serveis públics, control dels hàbits, la conducta o l'estat de les persones o per altres raons anàlogues.

f) Càmera: dispositiu, aparell o sensor destinat a captar, impressionar o reproduir imatges en moviment o fixes, i també sons, si escau, amb independència que quedin o no enregistrats i del suport en què s'enregistrin.

g) Sistema de càmeres de videovigilància: sistema d'informació integrat per una o més càmeres i altres elements instal·lats amb una mateixa finalitat per part d'una persona responsable. El sistema inclou tant les càmeres com els mitjans destinats a la monitorització, l'enregistrament, la transmissió o el tractament de les imatges o les veus.

h) Dissociació d'imatges: tractament de les imatges mitjançant programes o eines informàtiques o altres tècniques que, aplicades sobre una imatge o una veu, impedeix que puguin associar-se a una persona determinada.

Article 3

Àmbit subjectiu

3.1 Aquesta Instrucció és d'aplicació a tots els òrgans, organismes i entitats vinculades o dependents de les institucions públiques de Catalunya, de l'Administració de la Generalitat, dels ens locals de Catalunya, de les universitats de Catalunya i de les corporacions de dret públic que exerceixin les seves funcions exclusivament a Catalunya, que, d'acord amb l'article 156 de l'Estatut d'Autonomia de Catalunya, formen part de l'àmbit d'actuació de l'Agència Catalana de Protecció de Dades.

També és d'aplicació a les persones físiques o jurídiques que, en funció de qualsevol conveni, contracte o disposició normativa, gestionin serveis públics o exerceixin funcions públiques, sempre que en aquest darrer cas el tractament es faci a Catalunya i sigui en relació amb matèries de la competència de la Generalitat de Catalunya o dels ens locals de Catalunya.

3.2 Aquesta Instrucció s'aplica als tractaments que realitzin les entitats esmentades a l'apartat primer, amb independència que la totalitat o part d'aquests els dugui a terme una tercera persona per encàrrec d'alguna d'aquestes entitats. En aquest cas, són d'aplicació les previsions previstes a la normativa de protecció de dades sobre l'encarregat del tractament.

Article 4

Règim aplicable

4.1 Els tractaments a què es refereix aquesta Instrucció es regeixen pel que estableix la normativa estatal i de la Generalitat de Catalunya en matèria de protecció de dades i altra normativa d'aplicació, i pel que estableix aquesta Instrucció.

4.2 Els tractaments de dades personals procedents d'imatges i veus obtingudes mitjançant la utilització de videocàmeres per la policia de la Generalitat-mossos d'esquadra o per les policies locals de Catalunya s'han de regir per les seves disposicions específiques i per allò previst especialment, si escau, en la legislació de protecció de dades personals i per aquesta Instrucció.

4.3 El que estableix aquesta Instrucció s'entén sens perjudici del compliment necessari, per part de les entitats responsables de les càmeres, dels requisits exigits per la normativa de seguretat privada i per la resta de normativa aplicable.

Capítol 2

Principis aplicables al tractament d'imatges

Article 5

Legitimitat del tractament

5.1 Per a la utilització de càmeres o de sistemes de videovigilància per al compliment d'alguna de les finalitats previstes en l'article 2.e) d'aquesta Instrucció cal comptar amb el consentiment lliure, inequívoc i específic de les persones afectades o, en el seu defecte, amb la concurrència d'alguna de les circumstàncies previstes en l'article 6.2 de la Llei orgànica 15/1999, de 13 de desembre, de protecció de dades de caràcter personal.

La utilització de càmeres o sistemes de videovigilància per part de la policia de la Generalitat-mossos d'esquadra o per les policies locals de Catalunya requereix l'autorització corresponent en els supòsits previstos a la seva normativa específica.

5.2 En cas que es captin imatges que podrien revelar la ideologia, l'afiliació sindical, la religió o les creences de les persones afectades, el tractament només serà considerat legítim quan es compti amb el consentiment exprés i per escrit de les persones afectades. Quan es tracti de dades que puguin fer referència a l'origen racial, la salut o la vida sexual de les persones afectades poden tractar-se quan, per raons d'interès general, ho disposi una llei o la persona afectada hi consenti expressament.

Les previsions d'aquest apartat no són d'aplicació a la captació de la imatge de la persona en què, de forma merament accessòria, es puguin tractar trets físics, l'aparença o fins i tot determinats hàbits o comportaments de les persones que puguin considerar-se dades especialment protegides.

La instal·lació i la utilització de sistemes de videovigilància no pot obeir o donar lloc a pràctiques discriminatòries constitucionalment prohibides.

5.3 Els treballs d'instal·lació d'aparells de videovigilància els han de dur a terme empreses autoritzades de seguretat privada. A més, la policia de la Generalitat-mossos d'esquadra i la policia local corresponent poden instal·lar els seus sistemes de videovigilància respectius.

5.4 No es considera legítima:

a) La instal·lació d'aparells que permetin la gravació de l'interior del domicili d'altres persones, llevat que es compti amb el seu consentiment o concorri alguna altra de les circumstàncies previstes a l'article 18.2 de la Constitució.

b) La captació d'imatges de persones a la via pública, llevat que la duguin a terme les forces i els cossos de seguretat d'acord amb la seva normativa específica. La captació incidental d'imatges de la via pública per a la vigilància d'edificis o instal·lacions només resulta legítima si resulta inevitable per assolir la finalitat de vigilància de l'edifici o la instal·lació.

5.5 La cessió o comunicació de dades personals consistents en imatges, i si escau en veus, obtingudes a partir de la utilització de sistemes de videovigilància només es pot considerar legítima quan s'ajusti al que disposen els articles 11, 21 i 22 de la Llei orgànica 15/1999, de 13 de desembre, de protecció de dades de caràcter personal.

La cessió o còpia de les imatges i sons captades per la policia de la Generalitat-mossos d'esquadra o les policies locals de Catalunya es regeix pel que preveu la seva normativa específica.

Article 6

Finalitat

6.1 D'acord amb el principi de qualitat de les dades, les imatges, i si escau les veus, només es poden captar i tractar a través de sistemes de videovigilància per a finalitats determinades, explícites i legítimes.

Les imatges, i si escau les veus, captades per a una finalitat determinada no poden utilitzar-se per a una finalitat diferent, llevat del consentiment de la persona titular o que una llei ho autoritzi.

6.2 Les imatges captades amb finalitat de difusió cultural o turística, o per tal d'oferir informació meteorològica o altres d'anàlogues no es poden utilitzar amb finalitats de videovigilància i, per tant, no han de poder permetre la identificació de persones concretes.

Article 7

Proporcionalitat

7.1 El tractament de la imatge, i especialment de la veu, de les persones físiques amb finalitats de vigilància només es pot produir quan sigui adequat per contribuir de forma clara a la millora del servei o activitat, i la finalitat esmentada no es pugui obtenir amb altres mitjans que, sense exigir esforços desproporcionats, resultin menys intrusius per als drets de les persones.

Aquest mateix principi d'intervenció mínima també s'ha d'aplicar a la selecció de la tecnologia emprada, els lapses temporals de gravació i en la determinació de les condicions de conservació i accés a les imatges.

7.2 Amb caràcter previ a la instal·lació, les persones responsables de la utilització de sistemes de videovigilància han de ponderar els diferents drets i béns jurídics en joc, analitzant:

a) La necessitat d'utilitzar aquests sistemes.

b) La idoneïtat de la instal·lació de sistemes de videovigilància per assolir la finalitat perseguida.

c) El risc que pot suposar per als drets de les persones, ateses les característiques del sistema de videovigilància, les circumstàncies de la captació i les persones afectades.

d) L'absència de mesures de vigilància alternatives que comportin un risc menor, en relació amb possibles intromissions en els drets fonamentals.

Aquesta ponderació ha de quedar documentada en la memòria prevista a l'article 10 d'aquesta Instrucció.

7.3 Pot resultar no-adequada al principi de proporcionalitat:

a) La instal·lació de càmeres en espais com ara banys, serveis, vestidors, sales de lleure o de descans amb accés restringit o habitacions d'hotels i similars, on, per la seva pròpia naturalesa, la captació d'imatges resulta especialment intrusiva respecte el dret a la intimitat, a la dignitat personal o al lliure desenvolupament de la personalitat. Això també és aplicable a les habitacions dels centres assistencials, llevat que sigui necessari per protegir un interès vital de la persona afectada. En el cas de cel·les de dipòsit de persones detingudes o de centres penitenciaris o espais anàlegs de reclusió, la instal·lació no resulta proporcionada, llevat que existeixi un interès legítim superior que ho justifiqui.

b) La utilització de sistemes de videovigilància en l'àmbit laboral amb la finalitat exclusiva de controlar el rendiment de les persones treballadores.

c) La instal·lació, en l'àmbit educatiu, de càmeres a l'interior de les aules, gimnasos o espais de lleure de l'alumnat per al seu control.

7.4 La captació i l'enregistrament de la veu de les persones físiques juntament amb l'enregistrament de la imatge a través de sistemes de videovigilància només pot considerar-se legítima, amb caràcter excepcional, quan no es tracti de converses estrictament privades, la finalitat de vigilància no es pugui aconseguir mitjançant l'enregistrament, de forma exclusiva, de la imatge, i sempre que els motius que justifiquen l'enregistrament de la veu figurin en la memòria prevista a l'article 10 d'aquesta Instrucció.

Si accidentalment s'enregistren converses de naturalesa estrictament privada, cal cancel·lar-les, llevat que es compti amb el consentiment del titular o una norma amb rang de llei que habiliti la conservació o la comunicació de la informació.

Article 8

Conservació de les imatges

8.1 En aquells supòsits en què no es pugui assolir la finalitat perseguida sense emmagatzemar les imatges, el període de conservació no ha de ser superior al que resulti necessari per complir la finalitat de vigilància per a la qual les dades han estat recollides o enregistrades. Amb caràcter general, es recomana no excedir el termini màxim d'un mes per cancel·lar les imatges tractades.

8.2 La cancel·lació es produeix sens perjudici del bloqueig, segons el qual les imatges es poden conservar a disposició de les administracions públiques, els jutjats i els tribunals per atendre les possibles responsabilitats nascudes del tractament durant el termini de prescripció d'aquestes responsabilitats.

8.3 El bloqueig comporta que les imatges, i si escau les veus, quedin fora dels circuits d'explotació habituals i que se n'estableixi la custòdia mitjançant un sistema que permeti el control i l'enregistrament dels accessos que es produeixin, amb la finalitat a què fa referència l'apartat anterior.

Quan es tracti d'imatges en suport digital, comporta també l'encriptació de les imatges.

Quan es tracti d'imatges enregistrades en suports que no siguin digitals, el bloqueig s'ha de garantir mitjançant l'etiquetatge que indiqui aquesta circumstància i la conservació de les imatges en caixes, contenidors o altres recipients precintats d'accés restringit. Aquests suports han de quedar sota la custòdia de la persona responsable del fitxer o la persona responsable de seguretat, si n'hi ha, o la persona en què deleguin, sense que en cap cas pugui ser la mateixa persona operadora del sistema.

8.4 Quan, accidentalment, s'hagin captat imatges o veus en circumstàncies que comportin la seva il·licitud, s'han d'eliminar de manera immediata tan bon punt se'n tingui coneixement.

8.5 La conservació de les imatges i sons captades per la policia de la Generalitat-mossos d'esquadra o les policies locals de Catalunya es regeix pel que preveu la seva normativa específica.

Capítol 3

Creació i inscripció dels fitxers

Article 9

Creació dels fitxers

9.1 Per poder iniciar la captació d'imatges cal haver creat, amb caràcter previ, el fitxer corresponent, d'acord amb el que estableix la normativa de protecció de dades de caràcter personal i aquesta Instrucció, llevat que les imatges es captin sense que hi hagi emmagatzematge.

9.2 Sens perjudici dels supòsits en què la sol·licitud d'informe resulta preceptiva, abans de la creació del fitxer o, si escau, de la posada en marxa del sistema o d'una o diverses càmeres, es pot sol·licitar un informe a l'Agència Catalana de Protecció de Dades sobre l'adequació del tractament a la legislació en matèria de protecció de dades. La sol·licitud d'informe s'ha d'acompanyar de la proposta d'acord o de disposició general de creació del fitxer i de la memòria a què es refereix l'article següent.

9.3 El fitxer pot incloure les imatges referides a una o diverses càmeres, sempre que en aquest darrer supòsit les diverses captacions presentin suficient homogeneïtat en relació amb la finalitat amb què són captades, les característiques de la captació i el tractament que se'n preveu fer.

9.4 En els tractaments realitzats per la policia de la Generalitat-mossos d'esquadra o per les policies locals de Catalunya que estiguin sotmesos a inscripció al registre previst a la seva normativa específica, no és necessària la creació del fitxer.

Article 10

Memòria

10.1 Amb caràcter previ a la creació del fitxer, o a la posada en marxa del sistema de videovigilància en aquells casos en què no s'enregistrin les imatges, s'ha d'elaborar una Memòria, que ha de fer referència als punts següents:

a) Òrgan, organisme o entitat responsable: concreció de la persona responsable del fitxer, de les persones operadores del sistema de videovigilància, com també, si escau, de la persona responsable de la instal·lació i del seu manteniment.

b) Justificació de la legitimitat de la captació i dels tractaments posteriors que es prevegin: cal fer constar si es compta amb el consentiment dels afectats o, si no és el cas, quin dels apartats de l'article 6.2 de la Llei orgànica 15/1999, de 13 de desembre, de protecció de dades de caràcter personal, i si escau altra normativa aplicable, concorre en el cas concret, a efectes de legitimar el tractament de les imatges i les veus.

c) Justificació de la finalitat i de la proporcionalitat del sistema, d'acord amb el que estableixen els articles 6 i 7 d'aquesta Instrucció.

d) Dades personals tractades: cal concretar si s'enregistrarà també la veu i si la finalitat comporta, previsiblement, la captació d'imatges que revelin dades personals especialment protegides o d'altres que exigeixin un nivell mitjà o alt de seguretat.

e) Ubicació i camp de visió de les càmeres: cal fer referència a la ubicació i orientació de les càmeres. En especial, quan es tracti de càmeres a l'exterior, cal fer constar si en un radi de 50 metres hi ha centres de salut, centres religiosos, de culte o seus de partits polítics o centres educatius on assisteixin menors. També cal fer referència als espais que entrin dins el camp de visió de les càmeres.

f) Definició de les característiques del sistema. En aquest apartat cal especificar:

Nombre total de càmeres que formen el sistema.

Condicions tècniques de les càmeres i d'altres elements.

Si les càmeres disposen de ranures o connexions per a dispositius d'emmagatzemament extern.

Si les càmeres són fixes o mòbils.

Si es capten imatges en un pla fix o mòbil.

Si es disposa de la possibilitat d'obtenir primers plans en el moment de la captació o un cop enregistrades les imatges.

Si les imatges es visionen directament o només s'enregistren, amb accés limitat a determinats supòsits previstos en la Memòria.

Si la captació, i si escau l'enregistrament, es fa de manera continuada o discontínua.

Si les imatges es transmeten.

Previsions relatives als mecanismes d'identificació i de dissociació per atendre l'exercici dels drets d'accés, rectificació, cancel·lació i oposició.

Quan es gravi la veu, també cal especificar la distància a què es pot enregistrar.

g) Deure d'informació: cal incloure una referència al nombre i l'emplaçament dels cartells informatius, com també als altres mitjans addicionals d'informació, per tal d'acreditar el compliment del deure d'informació.

h) Període per al qual s'instal·la el sistema i període de conservació de les imatges.

i) Mesures previstes per avaluar els resultats del funcionament del sistema i la necessitat del seu manteniment.

j) Mesures de seguretat: concreció del nivell de seguretat exigible i descripció de les mesures de seguretat aplicades.

10.2 La informació a què es refereixen els apartats e) i g) ha d'anar acompanyada de la informació gràfica corresponent.

10.3 En els fitxers de titularitat pública, aquesta Memòria pot formar part de la memòria prevista en el procediment d'elaboració de disposicions de caràcter general.

10.4 La Memòria s'ha d'elaborar també quan el tractament de la imatge, i si escau de la veu, sigui accessori d'un altre tractament. En aquest supòsit, cal especificar i justificar aquesta circumstància.

10.5 La Memòria ha d'estar a disposició dels funcionaris i funcionàries de l'Agència Catalana de Protecció de Dades que exerceixen tasques d'inspecció.

Article 11

Inscripció de fitxers de videovigilància

11.1 Qualsevol tractament de dades personals que comporti l'enregistrament d'imatges de persones físiques identificades o identificables, captades mitjançant una o més càmeres que formin part d'un sistema de videovigilància, constitueix un fitxer i s'ha de notificar al Registre de protecció de dades de Catalunya. La notificació s'ha de fer un cop s'hagi creat el fitxer, d'acord amb el que preveu la normativa de protecció de dades, mitjançant el formulari que s'estableixi per resolució del director o directora de l'Agència Catalana de Protecció de Dades. També s'ha d'inscriure la modificació i la supressió dels fitxers.

11.2 Les captacions d'imatges que no s'emmagatzemin queden exceptuades de l'obligació d'inscripció.

11.3 Si la captació d'imatges constitueix un tractament accessori o complementari d'un altre tractament, es pot inscriure com un únic fitxer.

11.4 L'Agència Catalana de Protecció de Dades trasllada al Registre general de protecció de dades de l'Agència Espanyola de Protecció de Dades les inscripcions, modificacions o supressions de fitxers de videovigilància que es produeixen en el Registre.

11.5 Les previsions d'aquest article no són d'aplicació als tractaments de dades personals a través de sistemes de videovigilància duts a terme per la policia de la Generalitat-mossos d'esquadra o per les policies locals de Catalunya que s'hagin d'inscriure al Registre d'autoritzacions previst per la seva normativa específica, sens perjudici que es puguin establir fórmules de col·laboració entre aquest registre i el Registre de protecció de dades de Catalunya.

Capítol 4

Deure d'informació

Article 12

Informació

12.1 Les persones responsables del tractament d'imatges a través de càmeres fixes han d'informar de forma clara i permanent sobre l'existència de les càmeres mitjançant la col·locació dels cartells informatius que siguin necessaris per garantir-ne el coneixement per les persones afectades. Aquesta obligació és exigible igualment quan les imatges captades no siguin enregistrades.

12.2 Els cartells informatius s'han de col·locar abans que comenci la captació d'imatges i veus, fins i tot si es tracta de proves, i només poden retirar-se un cop sigui desinstal·lat el sistema.

12.3 Els cartells informatius s'han de col·locar en emplaçaments clarament visibles abans d'entrar en el camp de gravació de les càmeres. La ubicació concreta dels cartells dependrà, en cada cas, de la naturalesa i l'estructura de les zones i espais videovigilats. No obstant això, cal tenir en compte les condicions següents:

Per a les càmeres de videovigilància en edificis o instal·lacions, s'ha de col·locar un cartell informatiu en cadascun dels accessos a l'àrea videovigilada. En cas que estiguin dividits per plantes, a més a més, cal col·locar un altre cartell informatiu en cadascuna de les plantes que comptin amb videocàmeres, ubicats en un espai d'accés principal a l'àrea o zona videovigilada en la planta.

Per a les càmeres de videovigilància en el transport públic, s'ha de col·locar, com a mínim, un cartell informatiu en cadascun dels accessos a l'àrea videovigilada, així com a l'entrada dels vehicles sotmesos a videovigilància, de tal manera que sigui visible per a les persones afectades quan hi accedeixin.

Per a les càmeres de videovigilància en espais oberts, s'ha de col·locar un cartell informatiu a una distància suficient perquè les persones afectades tinguin coneixement, de manera clara i permanent, de l'existència de càmeres de videovigilància en l'àrea o zona a la qual accedeixen. En qualsevol cas, la ubicació del cartell informatiu ha d'estar a una distància inferior a 50 metres des del límit exterior de l'àrea.

12.4 El contingut i el disseny del cartell informatiu s'ha d'ajustar al que estableix l'annex d'aquesta Instrucció, sense que en cap cas resulti exigible que s'especifiqui l'emplaçament de les càmeres.

El cartell informatiu pot ser substituït per la informació a través de pantalles electròniques, quan s'ofereixi una imatge fixa del cartell o aquest aparegui, i pugui ser llegit , amb una freqüència que en garanteixi el coneixement per a les persones afectades.

12.5 Correspon al responsable del tractament vetllar per la conservació i el manteniment dels cartells informatius, per tal que permetin que les persones afectades coneguin, en tot moment, l'existència de càmeres.

12.6 La persona responsable del tractament, o qui designi en lloc seu, també ha de proporcionar a les persones afectades informació sobre la resta de punts previstos a l'article 5.1 de la LOPD per mitjà d'impresos o a través de la seva web o seu electrònica, on hi haurà de constar la finalitat específica de la vigilància, com també la resta de la informació establerta als apartats a), d) i e) de l'article 5 de la LOPD.

12.7 Amb caràcter complementari es poden emprar, si escau, altres mitjans addicionals per complir el deure d'informació que n'assegurin el coneixement per totes les persones, com ara l'ús de sistemes de megafonia.

12.8 A les càmeres fixes per al control, la regulació, la vigilància i la disciplina del trànsit a la via pública, el contingut del cartell es pot limitar a informar de l'existència de la càmera o el dispositiu de control de velocitat, sens perjudici del que estableix l'apartat 6 d'aquest article.

12.9 En el cas de les càmeres mòbils, llevat que la seva presència sigui clarament perceptible, cal informar de la seva existència, en la mesura que sigui possible, en el mateix acte de la gravació o, si això no és possible, a través d'altres mitjans.

12.10 El compliment del deure d'informació en els tractaments sotmesos a la legislació sobre l'ús de videocàmeres per la policia de la Generalitat-mossos d'esquadra o per les policies locals de Catalunya es regeix per la seva normativa específica.

Capítol 5

Drets d'accés, rectificació, cancel·lació i oposició

Article 13

Dret d'accés

Mitjançant el dret d'accés, la persona titular de la imatge, i si escau de la veu, té dret a què la persona responsable del tractament l'informi sobre si la seva imatge ha estat captada a través de sistemes de videovigilància, la finalitat de la captació, si la imatge és enregistrada en un fitxer, si és objecte d'algun altre tractament, si s'ha realitzat o s'ha previst alguna comunicació i quin és el període de conservació de les imatges o veus.

Quan la persona interessada així ho demani, també té dret a accedir a les imatges o veus i a obtenir-ne còpia, com també de les elaboracions posteriors que se n'hagi fet.

En el cas que l'exercici del dret afecti també imatges o veus de terceres persones, llevat que es compti amb el seu consentiment, l'accés requereix la dissociació prèvia de les imatges i de les seves veus amb qualsevol mitjà que n'impedeixi la identificació. Quan la dissociació exigeixi esforços desproporcionats en atenció al lapse temporal enregistrat o al nombre elevat de terceres persones afectades, la persona responsable pot sol·licitar que es redueixi el període de gravació al qual es pretengui tenir accés.

Article 14

Dret de rectificació

14.1 Només procedeix l'exercici del dret de rectificació de les imatges o la veu captades amb sistemes de videovigilància quan la imatge o la veu hagin estat distorsionades o alterades amb posterioritat a la seva captació.

14.2 Per tal de complir el que preveu aquest article, quan s'alterin o distorsionin les imatges o veus s'ha de guardar còpia de la gravació original o disposar d'un mecanisme de recuperació de la informació original. L'alteració o distorsió ha de quedar reflectida al registre d'incidències, amb indicació del període afectat i el motiu.

Article 15

Dret de cancel·lació

Mitjançant el dret de cancel·lació la persona titular de la imatge o la veu pot demanar la supressió, amb el bloqueig previ, de les seves imatges o veu el tractament de les quals sigui inadequat, excessiu o contrari a l'ordenament jurídic.

Article 16

Dret d'oposició

16.1 Mitjançant el dret d'oposició, llevat que una norma amb rang de llei o norma de dret comunitari d'aplicació directa disposi el contrari, la persona titular de la imatge pot demanar l'exclusió del tractament de la seva imatge o veu en aquells supòsits en què no sigui necessari el seu consentiment. La sol·licitud d'exercici d'aquest dret ha de justificar-se en motius fonamentats i legítims relatius a una concreta situació personal.

16.2 També es pot exercir el dret d'oposició quan es tracti de fitxers que tinguin per finalitat la realització d'activitats de publicitat i prospecció comercial, o quan el tractament tingui per finalitat l'adopció d'una decisió referida a la persona interessada basada únicament en un tractament automatitzat de les seves dades de caràcter personal.

Article 17

Procediment d'exercici de drets

17.1 Per a l'exercici dels drets d'accés, rectificació, cancel·lació i oposició, cal formular una sol·licitud adreçada al responsable del fitxer o, si escau, a l'encarregat del tractament, indicant el lloc, la data i l'hora aproximada, en franges no superiors a dues hores, en què la seva imatge va poder ser captada. La sol·licitud s'ha d'acompanyar d'una imatge de la persona sol·licitant que correspongui al període en què es va captar, de manera que permeti identificar-la. Per tal de comprovar la coincidència entre la imatge aportada i les imatges enregistrades, es poden utilitzar eines de reconeixement d'imatges.

17.2 En els sistemes de videovigilància que enregistrin la veu, el dret d'accés es pot exercir aportant una gravació de la veu de la persona afectada. A aquests efectes, la persona responsable dels sistemes de videovigilància que enregistrin el so ha de comptar amb eines de reconeixement de la veu que permetin comprovar la coincidència de la gravació de veu aportada amb alguna de les veus enregistrades.

17.3 Si la imatge o la veu aportades no ofereix prou definició o elements per permetre la identificació, s'ha d'atorgar un termini d'esmena de 10 dies hàbils per poder aportar una altra imatge o gravació de la veu.

17.4 La tramitació i la resolució de la sol·licitud es regeix pel que estableixen la normativa de protecció de dades de caràcter personal i per aquesta Instrucció. L'obligació de resoldre persisteix, amb independència que les imatges no hagin estat enregistrades o que ja hagin estat cancel·lades en el moment en què s'exerceix el dret. En aquest darrer cas, la resolució pot limitar-se a exposar aquesta circumstància i a informar de la impossibilitat material de donar satisfacció al dret exercit.

17.5 Pot denegar-se la sol·licitud d'exercici dels drets d'accés, rectificació, cancel·lació o oposició quan no concorrin els requisits exigibles, o quan el nivell de coincidència entre la imatge o la veu aportada amb la sol·licitud i les que hagin estat objecte de tractament no permeti assegurar que aquesta darrera correspon a la persona interessada. També pot denegar-se quan no hagin estat enregistrades o ja hagin estat cancel·lades.

17.6 Davant la denegació de l'exercici del dret o davant la manca de recepció de resposta en el termini establert, la persona afectada pot formular una reclamació de tutela davant l'Agència Catalana de Protecció de Dades.

Article 18

Imatges i veus captades per les forces i cossos de seguretat

18.1 L'exercici dels drets d'accés i cancel·lació d'imatges o veus tractades per càmeres de les quals són responsables la policia de la Generalitat-mossos d'esquadra o les policies locals de Catalunya es regeix per la seva normativa específica.

18.2 Els drets d'oposició i de rectificació en relació amb imatges captades per les càmeres de les què són responsables els cossos policials esmentats s'exerceixen d'acord amb el que estableix la normativa estatal i autonòmica sobre protecció de dades, com també pel que estableix aquesta Instrucció.

Capítol 6

Mesures de seguretat

Article 19

Obligacions de la persona responsable del tractament

19.1 La persona responsable del tractament ha d'adoptar les mesures tècniques i organitzatives necessàries que garanteixin l'autenticitat, la integritat i la confidencialitat de les imatges captades mitjançant sistemes de càmeres i que n'evitin l'alteració, pèrdua, accés indegut o tractament no autoritzat.

19.2 La persona responsable del tractament ha d'informar les persones que tinguin accés a les imatges en exercici de les seves funcions que han d'observar el deure de secret, i que aquesta obligació subsisteix fins i tot després d'haver finalitzat la seva relació de servei.

19.3 Les previsions d'aquest capítol són exigibles també als fitxers i als tractaments duts a terme mitjançant els sistemes de videovigilància dels quals són responsables la policia de la Generalitat-mossos d'esquadra o les policies locals de Catalunya.

Article 20

Nivell de seguretat

20.1 El nivell de seguretat que s'ha d'assignar al fitxer és el que resulti de la normativa que regula els nivells de seguretat exigibles en el tractament de dades de caràcter personal, d'acord amb el que resulti de la memòria a què es refereix l'article 10 d'aquesta Instrucció.

20.2 La recollida i el tractament d'imatges de persones identificades o identificables requereix, amb caràcter general, el nivell de seguretat bàsic, sens perjudici que en determinats supòsits puguin ser d'aplicació les mesures de nivell mitjà o alt especificades en aquesta normativa.

Sens perjudici de la resta de supòsits previstos a la normativa de protecció de dades, la captació i el tractament de determinades imatges o veus que, de manera previsible i significativa i no merament ocasional, ofereixin informació que permeti avaluar aspectes de la personalitat o el comportament de les persones, requereix el nivell mitjà de mesures de seguretat. Es requereix el nivell alt quan ofereixin informació sobre dades especialment protegides, quan es tracti d'imatges captades o tractades per a fins policials sense el consentiment de les persones afectades, o quan siguin relatives a actes de violència de gènere.

20.3 La captació de la imatge de la persona en què, de forma merament accessòria, es puguin tractar trets físics, l'aparença, determinats hàbits o comportaments o altres circumstàncies que podrien tenir atribuït un nivell de seguretat diferent, no altera el nivell de seguretat que sigui d'aplicació si aquella circumstància no és tinguda en compte en el tractament que es realitzi.

20.4 Els tractaments d'imatges captades amb sistemes de videovigilància que siguin accessoris d'altres tractaments principals poden segregar-se d'aquests últims, i aplicar el nivell de mesures de seguretat que correspongui al tractament de les imatges, sempre que es determini les persones usuàries que hi tindran accés i consti al document de seguretat.

Article 21

Mesures de seguretat

21.1 A les imatges, i si escau a les veus, obtingudes o tractades mitjançant sistemes digitals de videovigilància, fins i tot durant el període de proves, se'ls ha d'aplicar les mesures de seguretat tècniques i organitzatives previstes a la normativa de protecció de dades de caràcter personal per als fitxers o tractaments automatitzats, segons el nivell de seguretat establert d'acord amb l'article anterior.

21.2 A les imatges, i si escau a les veus, obtingudes o tractades amb dispositius que no emprin tecnologia digital o que posteriorment a la captació s'incorporin a suports que no es basin en la tecnologia digital, se'ls han d'aplicar les mesures tècniques i organitzatives previstes per als fitxers i tractaments no automatitzats.

21.3 Tanmateix, la persona responsable, atenent els riscs inherents als sistemes de videovigilància, pot implantar mesures addicionals o complementàries a les expressament requerides per la normativa de protecció de dades de caràcter personal.

21.4 Per tal d'adequar les mesures previstes a la normativa en matèria de protecció de dades a les exigències de seguretat derivades del tractament d'imatges i veus, cal tenir en compte el següent:

a) El document de seguretat ha de definir les persones o perfils de persones usuàries que poden manipular les càmeres i també les que poden visualitzar les imatges, en temps real o gravades. Així mateix, ha de definir les persones que puguin dur a terme operacions de bloqueig, esborrat, destrucció, conservació, identificació, distorsió o qualsevol altra manipulació de les imatges, com també el personal que pot autoritzar, modificar o revocar l'accés de tercers. Quan s'estableixi a partir de perfils de persones usuàries, el nombre d'aquestes ha de ser limitat en el mateix document de seguretat.

b) Els equips de visionat de les imatges han d'estar situats en àrees restringides al públic o, si això no és possible, disposats de forma que les imatges no siguin visibles per a persones no autoritzades.

c) La persona responsable del fitxer o tractament ha d'adoptar les mesures necessàries per assegurar la formació de les persones operadores del sistema per a la custòdia, reserva i seguretat de les imatges, com també per atendre l'exercici dels drets de les persones mitjançant un procediment àgil.

d) En les operacions d'esborrat de fitxers digitals o de reutilització dels suports per a gravacions analògiques cal adoptar les mesures necessàries per assegurar la destrucció total del seu contingut.

e) En els fitxers automatitzats, la realització de còpies de suport s'ha de fer setmanalment, llevat que el període de conservació de les imatges sigui inferior a una setmana.

f) Quan s'hagin d'aplicar mesures de nivell alt a fitxers o tractaments automatitzats, el registre d'accés ha de registrar la identificació de l'usuari que intenta accedir al sistema o arxiu, el seu perfil d'usuari, la data i l'hora de l'intent, les funcions que intenta realitzar i si ha estat autoritzat o no. Cas d'haver estat autoritzat, també cal registrar les imatges a les qual s'ha accedit, identificades amb la data i l'interval horari que s'ha visualitzat.

Si el tractament no es fa amb sistema digital, el registre d'accessos ha de ser operatiu a partir de l'endemà de la data en què es produeixi la gravació. Aquest registre l'ha de portar la persona encarregada de la custòdia de les gravacions, que ha de ser una persona diferent a les persones operadores del sistema

21.5 Als efectes de garantir-ne la integritat i alhora facilitar l'exercici dels drets, les imatges han d'incorporar un sistema de datació que indiqui el dia i l'hora en què han estat captades.

21.6 En aquells supòsits en què no s'emmagatzemen les imatges, les mesures de seguretat s'han d'adoptar igualment en allò que sigui aplicable.

Article 22

Document de seguretat

22.1 Les mesures d'índole tècnica i organitzativa exigibles per al tractament d'imatges han d'estar previstes al document de seguretat. Quan el tractament de la imatge tingui caràcter accessori, ha d'estar previst en el document de seguretat corresponent al tractament principal.

22.2 El document de seguretat ha d'incloure els aspectes previstos a la normativa de protecció de dades.

Disposicions transitòries

Fitxers i tractaments preexistents

.1 Els fitxers de videovigilància existents amb anterioritat a l'entrada en vigor d'aquesta Instrucció disposen d'un termini de 3 mesos, a comptar des de la seva publicació, per adaptar-se al que estableix l'article 12 d'aquesta Instrucció.

Per a les càmeres que només captin les imatges, els cartells informatius que a l'entrada en vigor d'aquesta Instrucció estaven col·locats i s'ajustaven al que estableix la Instrucció 1/2006 de l'Agència Espanyola de Protecció de Dades segueixen sent vàlids. En aquest cas, el termini previst al paràgraf anterior no és d'aplicació mentre no es substitueixin.

.2 La conservació i el tractament d'imatges i veus, incloses les enregistrades amb anterioritat a l'entrada en vigor d'aquesta Instrucció, han d'adaptar-se a les noves mesures de seguretat, obligacions i garanties previstes en aquesta Instrucció en el termini de 3 mesos, comptats a partir de la seva entrada en vigor.

.3 Les previsions de l'article 10 d'aquesta Instrucció només són exigibles als fitxers de sistemes de videovigilància que es creïn a partir de l'entrada en vigor d'aquesta Instrucció.

Disposició final única

Entrada en vigor

Barcelona, 10 de febrer de 2009

Esther Mitjans Perelló

Directora

Annex

.1 En el cartell informatiu a què es refereix l'article 12 d'aquesta Instrucció s'ha de fer constar de forma clarament visible, de dalt a baix, com a mínim, la informació següent:

Indicació a la finalitat per a la qual es tracten les dades (.Zona videovigilada.).

Pictograma que simbolitza una càmera de videovigilància dins d'un rectangle blanc. Quan es capti la veu, el pictograma ha de reflectir aquesta circumstància.

El text informatiu .Protecció de dades..

Indicació expressa a la identificació de la persona responsable davant la qual es poden exercir els drets d'accés, rectificació, cancel·lació i oposició

Indicació del lloc o web on es pot aconseguir la informació a què es refereix l'article 12.6 d'aquesta Instrucció.

.2 El disseny del cartell informatiu s'ha d'ajustar als requisits següents:

a) Ha de ser de forma rectangular i amb les arestes en angle recte. Les dimensions estàndard del cartell són, aproximadament, 21 cm de base i 29,7 cm d'altura.

Aquestes dimensions poden augmentar o disminuir segons sigui l'àrea o zona sotmesa a videovigilància i la distància que sigui necessària perquè el distintiu informatiu resulti visible per a les persones afectades.

b) Té com a color de fons el groc, a l'extrem superior esquerre del qual hi pot constar el logotip de l'Agència Catalana de Protecció de Dades.

c) Centrat dins d'un rectangle blanc, d'unes dimensions aproximades d'1/3 de l'altura del cartell i 4/5 de l'amplada que, en el cartell estàndard, se situa aproximadament a 6 cm del costat superior, hi ha de constar el pictograma a que es refereix l'apartat 1 d'aquest annex.

En tot cas, aquestes indicacions s'han de mantenir proporcionals en atenció a les possibles variacions en les dimensions del cartell informatiu.

.3 En la pàgina web de l'Agència Catalana de Protecció de Dades, www.apd.cat, hi ha disponibles models de cartell ajustats als requisits que estableix aquest annex, que es poden descarregar.

(09.034.046)