PROTEC-DATOS
Informes jurídicos de la AEPD
¿Cuál es el plazo del que dispongo para conservar los datos personales? ¿Cuándo puedo eliminarlos?
Esta es una pregunta que en multitud de ocasiones nos han realizado tanto nuestros clientes como aquellos que han asistido a nuestros cursos de formación.
La respuesta a esta pregunta la podemos ver detallada y muy bien explicada en el Informe Jurídico 0408/2010 emitido por la Agencia de Protección de Datos que a continuación insertamos en su integridad para que esta duda pueda ser disipada en la mayoría de los casos, aunque habrá que reconocer que en ocasiones puntuales nos deberemos ajustar o alinear con las distintas legislaciones que pudieran verse afectadas.
Dentro de los principios recogidos en el artículo 4 de la Ley Orgánica 15/1999 bajo el título “Calidad de los datos” su número 5 recoge el relativo a la conservación de éstos disponiendo que “Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados. No serán conservados en forma que permita la identificación del interesado durante un período superior al necesario para los fines en base a los cuales hubieran sido recabados o registrados.”
En desarrollo de este precepto el artículo 8.6 del Reglamento de desarrollo de la Ley Orgánica 15/1999, aprobado por Real Decreto 1720/2007, de 21 de diciembre, dispone “Los datos de carácter personal serán cancelados cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados.»
No obstante, podrán conservarse durante el tiempo en que pueda exigirse algún tipo de responsabilidad derivada de una relación u obligación jurídica o de la ejecución de un contrato o de la aplicación de medidas precontractuales solicitadas por el interesado. Una vez cumplido el período al que se refieren los párrafos anteriores, los datos sólo podrán ser conservados previa disociación de los mismos, sin perjuicio de la obligación de bloqueo prevista en la Ley Orgánica 15/1999, de 13 de diciembre, y en el presente reglamento.”
A este respecto, debe señalarse que la cancelación de los datos no supone su eliminación automática, sino su bloqueo tal y como dispone el artículo 16.3 de la Ley Orgánica 15/1999 al establecer que “La cancelación dará lugar al bloqueo de los datos, conservándose únicamente a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento, durante el plazo de prescripción de éstas. Cumplido el citado plazo deberá procederse a la supresión.”
El aludido Reglamento de desarrollo de la Ley Orgánica 15/1999, define en su artículo 5.1. b) la cancelación como “Procedimiento en virtud del cual el responsable cesa en el uso de los datos. La cancelación implicará el bloqueo de los datos, consistente en la identificación y reserva de los mismos con el fin de impedir su tratamiento excepto para su puesta a disposición de las Administraciones públicas, Jueces y Tribunales, para la atención de las posibles responsabilidades nacidas del tratamiento y sólo durante el plazo de prescripción de dichas responsabilidades. Transcurrido ese plazo deberá procederse a la supresión de los datos.”
En cuanto al modo de llevar a cabo el bloqueo, se señalaba en informe de esta Agencia de 5 de junio de 2007 que “deberá efectuarse de forma tal que no sea posible el acceso a los datos por parte del personal que tuviera habitualmente tal acceso, por ejemplo, el personal que preste sus servicios en el centro consultante, limitándose el acceso a una persona con la máxima responsabilidad y en virtud de la existencia de un requerimiento judicial o administrativo a tal efecto. De este modo, pese a permanecer el tratamiento de los datos, el acceso a los mismos quedaría enteramente restringido a las personas a las que se ha hecho referencia.”
Respecto del plazo de cancelación, la previsión contenida en el artículo 16.3 se complementa con la previsión contenida en el artículo16. 5 que indica que “los datos de carácter personal deberán ser conservados durante los plazos previstos en las disposiciones aplicables o, en su caso, en las relaciones contractuales entre la persona o entidad responsable del tratamiento y el interesado”.
En informe de 1 de agosto de 2005 se indicaba que resulta imposible establecer una enumeración taxativa de los períodos en que el dato habrá de permanecer bloqueado, en relación con lo dispuesto en el artículo 16.3, no obstante, señalaba los siguientes criterios:
“En cuanto a las causas que podrán motivar la conservación del dato, sujeto a su previo bloqueo, además de la relación jurídica con el afectado, a la que se refiere el artículo 16.5 de la Ley Orgánica 15/1999, éstas deberán fundarse en lo dispuesto “en las disposiciones aplicables” o a la “atención de las posibles responsabilidades nacidas del tratamiento”, tal y como prevé dicha Ley.
En este sentido, para la determinación del período de bloqueo de los datos debe tenerse en cuenta que la Sentencia del tribunal Constitucional 292/2000, de 30 de noviembre, viene a imponer, expresamente, el principio de reserva de Ley en cuanto a las limitaciones al derecho fundamental de protección de datos de carácter personal, de forma que cualquier limitación a ese derecho (como sería la derivada del artículo 16.3 de la Ley) deberá constar en una disposición con rango de Ley para que el bloqueo de los datos pueda considerarse lícitamente efectuado. Así, a título de ejemplo, podría considerarse que el bloqueo habrá de efectuarse durante los plazos de prescripción de las acciones derivadas de la relación jurídica que funda el tratamiento, en los términos previstos por la legislación civil o mercantil que resulte de aplicación, así como el plazo de cuatro años de prescripción de las deudas tributarias, en cuanto los datos puedan revestir trascendencia desde el punto de vista tributario (habida cuenta de la obligación de conservación que impone el artículo 111 de la Ley General Tributarias y el plazo legal de prescripción de cuatro años previsto en el artículo 24 de la Ley de Derechos y Garantías de los Contribuyentes).
En todo caso, debe recordarse que el mantenimiento del dato bloqueado, supone una excepción al borrado físico del mismo que, en definitiva, es el fin último de la cancelación (tal y como prevé el propio artículo 16.3, al indicar que “cumplido el citado plazo deberá procederse a la supresión).”
A los períodos mencionados en el informe citado cabe añadir el plazo de prescripción de 3 años, previsto en el artículo 47.1 de la propia Ley Orgánica 15/1999 en relación con las conductas constitutivas de infracción muy grave, sin perjuicio de que otras normas con rango de Ley, en aquellos concretos sectores
en los que actúe en representación o defensa de su cliente, puedan establecer otros plazos de conservación de los datos.
Por consiguiente, los datos deberán cancelarse una vez hayan dejado de ser necesarios para la finalidad para la que se recabaron, manteniéndose bloqueados, en los términos vistos, al menos durante el tiempo necesario para la prescripción de las acciones que pudieran derivarse de la relación jurídica que vincula al consultante con su cliente, así como los derivados de la normativa tributaria, el plazo de prescripción previsto en el artículo 47.1 de la Ley Orgánica 15/1999, o los establecidos en otras normas con rango de Ley que resulten de aplicación al caso, debiendo suprimirse los datos una vez transcurridos dichos plazos.
Fuente: AEPD
| 2010-0408 | Plazo de conservación de datos personales |
Informe de auditoría: período de validez y conservación.
El Reglamento de desarrollo de la LOPD, a partir del nivel medio de seguridad, en su artículo 96 RLOPD, señala que será obligatorio realizar una auditoría que contemple los sistemas de información e instalaciones de tratamiento y almacenamiento de datos y verifique el cumplimiento de las medidas de seguridad reguladas en el Título VIII del RLOPD.
¿Cada cuánto se habrá de realizar la misma?
La respuesta la hayamos en la redacción del artículo 96.1 del RLOPD que señala lo siguiente:
1. Apartir del nivel medio los sistemas de información e instalaciones de tratamiento y almacenamiento de datos se someterán, al menos cada dos años, a una auditoría interna o externa que verifique el cumplimiento del presente título.
De esta forma, el RLOPD establece la obligación de realizar la misma en el período que va desde que se hizo la última hasta, al menos, dos años después. La definición «al menos cada dos años», indica claramente que el período entre auditoría no deberá superar nunca los 24 meses, ni transcurrir mas de los 730 días. Esto viene a dejar en evidencia a aquellas entidades que, realizando esta exigencia legal de auditar sus sistemas de información, lo hacen computando solo el año olvidando el mes y el día. Por ejemplo, realizaron la auditoría el 12 de enero del 2010 y creen que tienen todo el 2012 para llevarla a cabo; pero la definición del artículo 96.1 deja claro que la fecha tope para haber realizado la misma se cumplió el 11 de enero del 2012. La realización de una auditoría fuera de esa fecha deberá recoger este hecho como un incumplimiento de la medida de seguridad.
Además, el artículo 96.1 en su continuación recoge la obligación de realizar una auditoría extraordinaria en aquellas situaciones en las que el responsable del fichero realice modificaciones sustanciales en el sistema de información que puedan repercutir en el cumplimiento de las medidas de seguridad implantadas objeto de verificar la adaptación, adecuación y eficacia de las mismas. Esta auditoria extraordinaria inicia el cómputo de dos años detallado con anterioridad.
¿Qué entendemos por modificaciones sustanciales en el sistema de información? A modo de ejemplo, podemos citar algunos casos: Cambio de sedes; cambios en servidores o estructura de seguridad de la red; cambio de aplicaciones que gestionen los ficheros que contienen los datos personales, etc..
¿Durante cuánto tiempo se deberán conservar dichos informes de auditoria?.
Esta pregunta ya fue respondida por la AEPD en su informe jurídico 0191/2010, y en el mismo se explicó lo siguiente:
El apartado 3 del precepto establece que “los informes de auditoria (…) quedarán a disposición de la Agencia Española de Protección de Datos o, en su caso, de las autoridades de control de las Comunidades
Autónomas”, si bien no se establece el plazo de conservación a disposición de la Agencia de tales informes.
El artículo 44.2 h) de la Ley Orgánica 15/1999 dispone que constituirá infracción grave de la Ley “mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad que por vía reglamentaria se determinen”. Dicha infracción prescribirá a los dos años de su comisión, tal y como dispone el artículo 47.1 de la Ley.
Como puede comprobarse, el responsable del fichero y el encargado se encuentran obligados a la realización, siempre que sean de aplicación las medidas de seguridad de nivel medio, como mínimo, de una auditoría cada dos años, siendo precisamente de dos años el plazo de prescripción de la sanción
consistente en no haber cumplido con dicha obligación.
De este modo, en caso de que por esta Agencia se requiriese el último informe de auditoría presentado conforme a lo dispuesto en el artículo 96 del reglamento de desarrollo de la Ley Orgánica 15/1999, la entidad requerida debería siempre tener a disposición de la Agencia un informe emitido durante los dos años anteriores al momento en el que se solicita el requerimiento,siendo éste precisamente el último informe de auditoría al que debería haberse sometido la entidad.
A la vista de lo anterior, teniendo en cuenta los plazos de prescripción y de obligación de sometimiento a la auditoría, el término durante el cual el informe debería estar a disposición de la Agencia Española de Protección de Datos o autoridad autonómica de control competente debería ser el de dos años, da modo que si no se dispusiera de un informe de esa antigüedad la entidad responsable o encargada estaría vulnerando lo dispuesto en la Ley Orgánica 15/1999 y su Reglamento de desarrollo, al no haber sometido los sistemas a una nueva auditoría en el plazo señalado.
En todo caso, y a fin de evitar la posible comisión de una infracción en caso de haberse llevado a cabo una nueva auditoría y no haberse ultimado las conclusiones de la misma, se considera que sería conveniente que en todo caso se encontrase a disposición de la Agencia el último informe de auditoría que se hubiese emitido, no siendo preciso mantener a su disposición los anteriores a aquél.
Publicación en Internet de datos de los contratistas relativos a deudas de los Ayuntamientos
Esta es una cuestión candente en virtud de las informaciones que han venido apareciendo en los distintos medios sobre la iniciativa del gobierno de abonar las facturas pendientes a los proveedores de las entidades locales así como con las iniciativa parlamentaria de la ley de transparencia.
La Agencia de Protección de Datos ha emitido un informe jurídico que viene a aclarar, a la luz de la Ley 15/1999 y de su Reglamento, si dicha publicación en internet de datos de contratistas tiene o no amparo legal, este informe es el 0119/2012.
En síntesis, el informe viene a decir lo siguiente:
¿Se puede ceder al comité de empresa los cuestionarios de evaluación de los trabajadores?
Se denomina comité de empresa al cuerpo representativo de los trabajadores en una empresa. Es conocido también como comisión de empresa o comisión interna. Sus funciones y las normas que lo regulan varían considerablemente entre diferentes países, desde simples funciones de relación con el empleador y resolución de pequeños conflictos, hasta funciones representativas o compartidas en la negociación colectiva, ejercicio del derecho de información y consulta, y funciones de participación en el proceso de toma de decisiones de la empresa más o menos amplia.
En la legislación española el Comité de Empresa está regulado en los (artículos 62 y 63 del Estatuto de los Trabajadores), como uno de los tres órganos colegiados representativos de los trabajadores a efectos de relaciones laborales.
Por tanto, en este escenario planteamos esta pregunta, ¿podemos ceder a dicho comité los cuestionarios de evaluación de los trabajadores? ¿cuándo se podría y qué se requeriría?.
Esta cuestión fue planteada a la AEPD y en su informe jurídico 0071/2010 dio cumplida respuesta, respuesta que merece la pena ser repasada y comentada.
Conservación de la historia clínica y firma electrónica del consentimiento informado
El régimen de protección de datos aplicable a las historias clínicas ha de complementarse necesariamente con las previsiones específicas recogidas en relación con las mismas por la normativa que las regula, y en particular por el Capítulo V de la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica.
Las previsiones de la mencionada Ley dan respuesta expresa a algunas de las cuestiones que afecta a la forma en que la historia clínica debe conservarse. Esta cuestión fue comentada por al AEPD en su informe jurídico 0443/2010 que pasamos a editar y comentar:
¿Es el número de finca registral un dato de carácter personal? ¿le aplica la LOPD?
Esta es una pregunta interesante de analizar, ya que son muchas las preguntas que a veces se plantean las personas o usuarios a la hora de concretar qué es y qué no es dato de carácter personal.
Para contestar esta pregunta será conveniente que nos remitamos al informe jurídico 0034/2010 que la AEPD emitió y detengámonos en los elementos utilizados en dicho informe. Leemos:
En primer lugar es preciso determinar si el número de finca registra constituye un dato de carácter personal, según la Ley Orgánica 15/1999 el concepto de dato personal, comprende según el artículo 3 a) “cualquier
información concerniente a persona física identificada o identificable”, entendemos que se requiere la concurrencia de un doble elemento: por una parte la existencia de una información o dato y de otra, que dicho dato pueda vincularse a una persona física identificada o identificable.
Este concepto se confirma y se concreta tras la entrada en vigor del Reglamento que desarrolla la Ley Orgánica 15/1999, aprobado por el Real Decreto 1720/2007, de 21 de diciembre, en el que se define tanto dato de carácter personal como persona identificable en el artículo 5.1 estableciendo que son “f) Datos de carácter personal: Cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables. y o) Persona identificable: toda persona cuya identidad pueda determinarse, directa o indirectamente, mediante cualquier información referida a su identidad física, fisiológica, psíquica, económica, cultural o social. Una persona física no se considerará identificable si dicha identificación requiere plazos o actividades desproporcionados.”
El artículo 8 de la Ley Hipotecaría establece que “Cada finca tendrá desde que se inscriba por primera vez un número diferente y correlativo. Las inscripciones que se refieran a una misma finca tendrán otra numeración correlativa y especial.” Continúa señalando el artículo 9 que “Toda inscripción que se haga en el
Registro expresará las circunstancias siguientes:
1ª La naturaleza, situación y linderos de los inmuebles objeto de la inscripción, o a los cuales afecte el derecho que deba inscribirse, y su medida superficial, nombre y número, si constaren del título. (….)
2ª La naturaleza, extensión y condiciones, suspensivas o resolutorias, si las hubiere, del derecho que se inscriba, y su valor, cuando constare en el título.
3ª El derecho sobre el cual se constituya el que sea objeto de la inscripción.
4ª La persona natural o jurídica a cuyo favor se haga la inscripción.
5ª La persona de quien procedan inmediatamente los bienes o derechos que deban inscribirse.
6ª El título que se inscriba, su fecha, y el Tribunal, Juzgado, Notario o funcionario que lo autorice.
7ª La fecha de presentación del título en el Registro y la de la inscripción.
8ª La firma del Registrador, que implicará la conformidad de la inscripción, con la copia del título de donde se hubiere tomado.
Lo dispuesto en este artículo se entiende sin perjuicio de lo especialmente establecido para determinadas inscripciones.”
De todo lo expuesto podemos extraer la siguiente conclusión, el número de una finca registral, es el que se otorga a la inscripción de la finca, por lo que conociendo dicho número podemos conocer el contenido de la inscripción en el que aparecerá entre otro tipo de información; “la persona natural o jurídica a cuyo favor se haga la inscripción y la persona de quien procedan inmediatamente los bienes o derechos que deban inscribirse”. Por tanto enlazando este concepto con las definiciones previstas tanto en la Ley Orgánica 15/1999 y su reglamento de desarrollo, habrá de concluirse que el número de finca registral es un dato identificable.
Por ello, y a modo de resumen, señalar que la Ley 15/1999 es de plena aplicación al número de finca registral, al tener este el atributo de dato de carácter personal.
Fuente: AGPD
¿Se puede ceder las imágenes captadas por las cámaras a las Fuerzas de Seguridad sin mandamiento judicial y sin vulnerar la LOPD?
Esta pregunta fué planteada a los servicios jurídicos de la AEPD y se redactó el informe 0145/2007 a fin de dar respuesta a la misma. ¿Qué se planteó realmente y cuál fué la respuesta?. Leamos.
Videoportero con grabación de imágenes y conexión a señal de TV, ¿Vulnera la LOPD?
Resumen del Informe Jurídico de la AEPD 0335/2009.
Esta cuestión se analiza en la Guía de Videovigilancia en materia de viedeoporteros, publicada en la página web de la Agencia http://www.agpd.es señalando que:
“La Instrucción 1/2006 excluye expresamente su aplicación a imágenes obtenidas en el ámbito personal y doméstico, entendiéndose por tal el realizado por una persona física en el marco de una actividad
exclusivamente privada o familiar. Por tanto, en aquellos casos en los que la utilización de videoporteros se limite a su función de verificar de la identidad de la persona que llamó al timbre y a facilitar el acceso a la vivienda, no será de aplicación la normativa sobre protección de datos. Sin embargo, si el servicio se articula mediante procedimientos que reproducen y/o graban imágenes de modo constante, y resultan accesibles -ya sea a través de Internet o mediante emisiones por la televisión de los vecinos-, y en particular cuando el objeto de las mismas alcance al conjunto del patio y/o a la vía pública colindante, resultará de plena aplicación la Instrucción 1/2006.”
En consecuencia, cuando una cámara permite reproducir en tiempo real las imágenes que concurren en la portería de un edificio, su actuación excede con mucho del ámbito personal y doméstico, por lo que implica un tratamiento de datos de carácter personal, que conlleva la necesidad de legitimar dicho tratamiento en los términos del artículo 2 de la Instrucción 1/2006, de 8 de noviembre la Agencia Española de Protección de Datos, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o viedeocámaras.
El artículo 2 de la citada Instrucción se remite en cuanto a la legitimación para el tratamiento de imágenes a lo dispuesto en el artículo 6.1 y 2 de la LOPD, donde se establece que “el tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”, sin perjuicio de que dicho consentimiento podrá quedar excluido, de acuerdo con lo dispuesto por el artículo 6.2 cuando el tratamiento sea necesario para el adecuado desenvolvimiento de la relación laboral de los
trabajadores con la empresa.
Como se ha señalado anteriormente el artículo 6.1 de la LOPD establece que “El tratamiento de los datos de carácter personal requerirá el consentimiento inequívoco del afectado, salvo que la Ley disponga otra cosa”.
Por tanto, dado que en materia de videovigilancia resulta imposible obtener el consentimiento de las personas cuyas imágenes captan las cámaras es preciso conocer que ley puede habilitar el tratamiento. Respecto a la legitimación en el tratamiento de las imágenes se ha pronunciado la Agencia en informe de fecha 5 de febrero de 2007 señalando que:
“No obstante, si la cuestión planteada se refiere a la legitimación en el tratamiento, la respuesta a la misma se encuentra en el artículo 2 de la Instrucción que establece que:
1.- Sólo será posible el tratamiento de los datos objeto de la presente instrucción, cuando se encuentre
amparado por lo dispuesto en el artículo 6.1 y 2 y el artículo 11.1 y 2 de la Ley Orgánica 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal.
2.- Sin perjuicio de lo establecido en el apartado anterior la instalación de cámaras y videocámaras deberá respetar en todo caso los requisitos exigidos por la legislación vigente en la materia.”
El mencionado artículo debe de conectarse con lo dispuesto en la Ley 23/1992, de 30 de julio, de Seguridad Privada ( en adelante LSP), que regula, según su artículo 1.1 “la prestación por personas, físicas o jurídicas, privadas de servicio de vigilancia y seguridad de personas o de bienes, que tendrán la consideración de actividades complementarias y subordinadas respecto a las de seguridad pública”.
Asimismo, añade el artículo 1.2 que “A los efectos de la presente Ley, únicamente pueden realizar actividades de seguridad privada y prestar servicios de esta naturaleza las empresas de seguridad y el personal de seguridad privada, que estará integrado por los vigilantes de seguridad, los jefes de seguridad y los escoltas privados que trabajen en aquéllas, los guardas particulares del campo y los detectives privados”, sin perjuicio de las especialidades que se analizarán posteriormente, previstas en las normas reguladoras, en general, de la seguridad ciudadana.
El artículo 5.1 e) de la LSP dispone que “Con sujeción a lo dispuesto en la presente Ley y en las normas reglamentarias que la desarrollen, las empresas de seguridad únicamente podrán prestar o desarrollar los siguientes servicios y actividades (…) Instalación y mantenimiento de aparatos, dispositivos y sistemas de seguridad”. Esta previsión se reitera en el artículo 1 del Reglamento de Seguridad Privada, aprobado por Real decreto 2364/1994, de 9 de diciembre ( en adelante RSP).
De este modo, la Ley habilitaría que los sujetos previstos en su ámbito de aplicación puedan instalar dispositivos de seguridad, entre los que podrían encontrarse las cámaras, siempre con la finalidad descrita
en el citado artículo 1.1.
Para la efectiva puesta en funcionamiento de la medida, el artículo 6.1 dispone que “Los contratos de prestación de los distintos servicios de seguridad deberán en todo caso consignarse por escrito, con arreglo a modelo oficial, y comunicarse al Ministerio del Interior, con una antelación mínima de tres días a la iniciación de tales servicios”.
El artículo 20 del RSP regula el procedimiento de notificación del contrato, la autoridad competente y el régimen aplicable a la contratación del servicio por las Administraciones Públicas y a supuestos excepcionales que exijan la inmediata puesta en funcionamiento del servicio. Por último, el artículo 7.1 establece que “Para la prestación privada de servicios o actividades de seguridad, las empresas de seguridad habrán de obtener la oportuna autorización administrativa mediante su inscripción en un Registro que se llevará en el Ministerio del Interior”.
La inscripción se regula en el artículo 2 del RSP, detallando el Anexo los requisitos que han de reunir estas empresas. No obstante, quedarían excluidas las de ámbito exclusivamente autonómico. Además, el artículo 39.1 dispone que “únicamente podrán realizar las operaciones de instalación y mantenimiento de sistemas de seguridad electrónica contra robo e intrusión y contra incendios las empresas autorizadas”.
En consecuencia, siempre que se haya dado cumplimiento a los requisitos formales establecidos en los artículos precedentes (inscripción en el Registro de la empresa y comunicación del contrato al Ministerio
del Interior), las empresas de seguridad reconocidas podrán instalar dispositivos de seguridad, entre los que se encontrarían los que tratasen imágenes con fines de videovigilancia, existiendo así una habilitación
legal para el tratamiento de los datos resultantes de dicha instalación.
De este modo, quedaría legitimado por la existencia de una norma con rango de Ley habilitante el tratamiento al que se refiere el apartado 2 de los citados con anterioridad, siempre que se cumplan los requisitos a los que se ha hecho referencia o concurra una de las excepciones previstas en el RSP, no siendo necesario el consentimiento del afectado”
Debe concluirse, por tanto, que es necesario que quien desee instalar dichas cámaras cumpla con todos los requisitos antes expuestos.
PROTEC-DATOS 
