El Informe 0360/2009 del Gabinete Jurídico de la Agencia Española de Protección de Datos (AEPD) aborda la cuestión de si las empresas de seguridad que instalan sistemas de videovigilancia con acceso remoto a las imágenes de sus clientes deben formalizar un contrato de encargado del tratamiento conforme al artículo 12 de la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD).
La Guía de Videovigilancia de la AEPD establece que la implementación de sistemas de videovigilancia puede dar lugar a diferentes tipos de prestación de servicios. En primer lugar, una empresa externa puede limitarse a la instalación y/o mantenimiento técnico de los equipos sin acceso a las imágenes. En este caso, la empresa de seguridad no es considerada encargada del tratamiento, y la responsabilidad de adaptar la instalación a los requisitos normativos recae en el responsable del tratamiento, es decir, el cliente que contrató el servicio.
En segundo lugar, si la empresa de seguridad accede a las imágenes o utiliza los equipos, se considera encargada del tratamiento y debe cumplir con las obligaciones establecidas en el artículo 12 de la LOPD. Esto implica la necesidad de formalizar un contrato por escrito que regule el acceso y tratamiento de los datos, asegurando que la empresa de seguridad solo trate los datos conforme a las instrucciones del responsable del tratamiento y que implemente las medidas de seguridad adecuadas.
El informe concluye que es necesario que las empresas de seguridad formalicen un contrato de encargado del tratamiento con sus clientes cuando accedan por control remoto a las imágenes, especialmente cuando los clientes son empresas u órganos corporativos. Sin embargo, si el servicio se instala en el domicilio particular de una persona y solo se accede a las imágenes cuando salta la alarma, la LOPD no se aplica, ya que se trata de un ámbito personal y doméstico, según el artículo 2.a) de la ley.
No obstante, si la empresa de seguridad instala el sistema en el domicilio particular de su cliente, adquiere la condición de responsable del fichero de gestión de sistemas de videovigilancia con acceso a las imágenes, dado que no resulta aplicable la excepción del artículo 2.a) de la LOPD en este contexto.