La empresa que instala y gestiona las cámaras: contrato y responsabilidades

La junta ha aprobado las cámaras y el presidente firma un presupuesto con una empresa de seguridad: instalación, mantenimiento, grabación en la nube y alertas al móvil. Todo en un impreso de dos páginas. Nadie ha leído la parte pequeña, y nadie ha preguntado dónde se guardan las imágenes ni quién puede verlas.

Cuando una empresa instala y además accede, guarda o gestiona las imágenes de una comunidad, actúa como encargada del tratamiento. Eso obliga a firmar un contrato específico (art. 28 RGPD) y no cambia quién es el responsable: sigue siendo la comunidad. El presupuesto de instalación no sustituye a ese contrato.

Responsable y encargado: quién es quién

El responsable decide para qué y cómo se tratan los datos. En la videovigilancia de un edificio, es la comunidad. El encargado es la empresa que trata los datos por cuenta de ella, siguiendo sus instrucciones. Si el servicio de la empresa se limita a montar los aparatos y marcharse, sin acceso posterior a las imágenes, quizá no haya tratamiento por su parte. Pero en cuanto hay mantenimiento remoto, almacenamiento en la nube o monitorización, hay encargo.

Esto afecta al cartel: el responsable que debe figurar es la comunidad, no la empresa de seguridad aunque su pegatina esté en la cámara. Lo explicamos en El cartel de zona videovigilada.

Qué debe contener el contrato

El RGPD detalla el contenido mínimo del contrato de encargado. En términos prácticos, debe recoger:

• El objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos y las categorías de personas afectadas.
• Que la empresa solo tratará las imágenes siguiendo las instrucciones documentadas de la comunidad.
• El compromiso de confidencialidad de las personas que accedan a ellas.
• Las medidas de seguridad que aplicará (art. 32 RGPD).
• Las condiciones para contratar a otras empresas (subencargados), con autorización de la comunidad.
• La obligación de ayudar a la comunidad a atender los derechos de los vecinos, como el acceso a sus imágenes.
• La ayuda a la comunidad en materia de seguridad, incluido el aviso sin dilación si se produce una brecha de seguridad.
• Qué ocurre al terminar el servicio: devolución o supresión de las imágenes y copias.
• La obligación de poner a su disposición la información necesaria para demostrar el cumplimiento, y de permitir revisiones.

Un buen contrato va más allá del mínimo y concreta cuestiones prácticas: plazo de conservación (como máximo un mes, como se explicó aquí), quién tiene acceso desde la empresa y en qué plazo y por qué canal se avisa de una brecha de seguridad.

Las preguntas que debe hacer antes de firmar

1. ¿Dónde se almacenan las imágenes? Si el servidor está fuera del Espacio Económico Europeo, se aplican reglas específicas para las transferencias internacionales.
2. ¿Quién de la empresa puede ver las grabaciones, y cómo se registra ese acceso?
3. ¿Se cifran las imágenes y las comunicaciones? ¿Se cambian las contraseñas de fábrica?
4. ¿Se borran automáticamente a los 30 días o menos, también las copias de seguridad?
5. ¿Subcontrata el almacenamiento o el mantenimiento a terceros?
6. ¿Qué pasa con las imágenes si se rescinde el contrato?

Seguridad privada: cuándo entra otra ley

Si el sistema se conecta a una central receptora de alarmas, o si se contrata vigilancia, la normativa de seguridad privada exige que la empresa esté autorizada para ello. Pídale que se lo acredite. Es una comprobación independiente de la de protección de datos, pero conviene hacerla en el mismo momento.

Quién responde de qué

La comunidad responde como responsable: de que haya base legal, información, acuerdo de junta, plazos y contrato. La empresa responde como encargada si incumple el contrato, si trata las imágenes para fines propios o si no aplica las medidas de seguridad pactadas. Pero que el encargado falle no libera al responsable de su deber de elegir a alguien que ofrezca garantías suficientes, y de vigilar que cumple.

Por eso conviene dejar constancia de que se pidió el contrato, se firmó y se revisó. Y recoger la videovigilancia en el registro de actividades del tratamiento de la comunidad, donde también consta la empresa encargada.

Cuando contrata el administrador

Muchas veces es el administrador quien gestiona el contrato con la empresa de cámaras en nombre de la comunidad, tras el acuerdo de la junta. Es práctico, pero debe quedar claro a nombre de quién se firma. El contrato de encargado se firma entre la comunidad (responsable) y la empresa (encargada). El administrador actúa en representación de la primera.

Si el propio despacho de administración trata además datos de la comunidad, ese es otro encargo, distinto del de las cámaras, y también necesita su contrato.

Cláusulas que conviene mirar con lupa

• Las que permiten a la empresa usar las imágenes «para mejorar sus servicios» o con fines propios.
• Las que dejan abierta la subcontratación sin avisar a la comunidad.
• Las que no fijan plazo de conservación o lo dejan a criterio de la empresa.
• Las que no dicen nada sobre qué ocurre con las imágenes cuando acaba el servicio.

Si encuentra alguna, pida que se corrija antes de firmar. Es mucho más fácil que renegociarlo después.

En resumen

• Si la empresa accede, guarda o gestiona imágenes, es encargada y hace falta un contrato escrito.
• El responsable sigue siendo la comunidad, y así debe constar en el cartel.
• El contrato debe cubrir instrucciones, confidencialidad, seguridad, subencargados, derechos y devolución o supresión.
• Pregunte dónde se guardan las imágenes y quién accede a ellas.
• Anote la videovigilancia y a la empresa en el registro de actividades.

El siguiente paso

Revisar los contratos que ya tienen firmados sus comunidades con empresas de seguridad es un buen punto de partida para ordenar su documentación.