VIDEOVIGILANCIA EN LAS AULAS UNIVERSITARIAS Y PROTECCIÓN DE LA VIDA PRIVADA. CONSIDERACIONES SOBRE LA STEDH DE 28 DE NOVIEMBRE DE 2017 (CASO ANTOVIĆ)

1. El concepto de vida privada. la «vida privada social» y la «expectativa razonable de intimidad»[Subir]

Haciéndose eco de sentencias anteriores, el TEDH reitera en este fallo su opinión sobre la imposibilidad de definir el concepto de «vida privada» del art. 8 CEDH, así como la defensa de una interpretación amplia de dicha expresión^‍‍[2], en la que, caso a caso, el Tribunal identifica las situaciones que caen bajo su ámbito ( ‍Roagna, I. (2012). Protecting the right to respect for private and family life under the European Convention on Human Rights. Council of Europe human rights handbooks. Estrasburgo: Consejo de Europa. Disponible en: https://bit.ly/2x7eCnG.Roagna, 2012: 12^‍‍[3]).

En lo que aquí interesa, el derecho al respeto de la vida privada y familiar alberga el derecho a una «vida privada social», entendido como la posibilidad de la persona de desarrollar su identidad social mediante sus relaciones con los demás^‍‍[4]. Estas relaciones pueden incluir las laborales o profesionales y las desarrolladas en un contexto público, en las que no siempre es posible distinguir con claridad qué actividades del individuo forman parte de su vida profesional o empresarial y cuáles no. Existe, en definitiva, una zona de interacción de una persona con otras, incluso en un contexto público, que puede caer en el ámbito de la «vida privada», de la que forma parte la vida profesional^‍‍[5].

Es obligado plantear, si bien de forma breve, el paralelismo entre el derecho a la vida privada del art. 8 CEDH y el derecho a la intimidad del art. 18 CE. Aunque pudiera parecer que coinciden, en realidad el primero, según la interpretación que lleva a cabo del mismo el Tribunal de Estrasburgo, es más amplio que el segundo^‍‍[6], que, según el TC, «implica la existencia de un ámbito propio y reservado frente a la acción y el conocimiento de los demás, necesario, según las pautas de nuestra cultura, para mantener una calidad mínima de vida humana^‍‍[7]». Hay quien afirma que la intimidad vendría a ser un primer círculo concéntrico de la vida privada, rodeado por un segundo, constituido por aquellos aspectos que el individuo comparte en un ámbito un poco más genérico, pero en sí reducido (familia, amigos), y este, a su vez, por un tercero, compuesto por lo que la sociedad puede conocer del individuo, o lo que este quiere que conozcan de él en su relación social (Rebollo Delgado, s. f.: 99). Otros estiman que es una de las manifestaciones de la vida privada, junto con los demás derechos recogidos en el art. 18 CE ( ‍De las Heras Muñoz, M. (2013). El impacto de las nuevas tecnologías sobre el derecho fundamental a la intimidad. En G. M. Teruel et al. (dirs.). Desafíos para los derechos de la persona ante el siglo xxi: Internet y nuevas tecnologías (pp. 115-‍125). Cizur Menor (Navarra): Thomson Reuters-Aranzadi.De las Heras Muñoz, 2013: 115).

Este alcance más restringido que se atribuye al derecho a la intimidad del art. 18 CE en relación con el derecho a la vida privada del art. 8 CEDH no puede conducir, sin embargo, a excluir la posibilidad de intimidad en el ámbito laboral. De hecho, aunque en un primer momento tanto los tribunales del orden laboral como el TC español concebían el centro de trabajo como un lugar público y entendían que en el ámbito personal y familiar no se podían incluir hechos referidos a las relaciones sociales y profesionales que rodeaban a la actividad laboral (STC 142/1993, de 22 de abril), esa perspectiva fue superada a partir del año 2000, y desde entonces, los conflictos derivados de la instalación de sistemas de videovigilancia desde el punto de vista de la vulneración del derecho constitucional a la intimidad (y a la propia imagen^‍‍[8]).

Por otro lado, a la hora de determinar el ámbito de la vida privada, el tribunal recuerda que un factor importante es el de la «expectativa razonable de intimidad». Este concepto fue acuñado por primera vez por la jurisprudencia estadounidense en el caso Katz de 1967^‍‍[9] ( ‍Winn, P. (2008). Katz and the Origins or the ‘Reasonable Expectation of Privacy’ Test. McGeorge Law Review, 40, 1-‍13. Disponible en: https://bit.ly/2Ne6f4Y.Winn, 2008: 1) y fue acogido por el TEDH en el caso Halford (STEDH de 25 de junio de 1997), y más recientemente, por los tribunales españoles, en la STS de 26 de septiembre de 2007 ( ‍García González, R. y Pastor Merchante, J. (2016). Límites a la necesaria flexibilización de los derechos a la intimidad y al secreto de las comunicaciones en el ámbito laboral: una reflexión tras la sentencia del TEDH de 12 de enero de 2016 en el caso Barbulescu. Diario La Ley, 8715, Sección Tribuna, 4-‍3-2016.García y Pastor, 2016: 2). Con posterioridad a la sentencia Halford, son varias las ocasiones —incluyendo el caso Antović— en que el Tribunal de Estrasburgo ha manejado el elemento de la «expectativa razonable de intimidad» afirmando que es un factor relevante, aunque no necesariamente determinante^‍‍[10].

2. Vida privada y aulas universitarias[Subir]

Con base en las anteriores consideraciones, en la sentencia que se comenta se afirma que las aulas universitarias son los lugares de trabajo de los profesores, en los que no solo enseñan a los estudiantes, sino que interactúan con ellos, y por tanto desarrollan relaciones y construyen su identidad social. A este respecto el Tribunal de Estrasburgo recuerda que en el lugar de trabajo existe vida privada social, que si bien puede limitarse por el empresario cuando ello sea necesario, en ningún caso puede suprimirse por completo^‍‍[11]; de modo que la videovigilancia de un empleado en su puesto de trabajo es una intromisión en su vida privada y, por tanto, una interferencia a los efectos del art. 8 CEDH. Por consiguiente, concluye que este precepto es aplicable.

En el voto particular concurrente, se afirma que la decisión no debería haber puesto el acento en la circunstancia de que las aulas son los lugares de trabajo de los profesores y, por tanto, en la consideración de los hechos como una interferencia del empleador en la vida privada de sus empleados, sino en la naturaleza de la actividad realizada bajo vigilancia. Según los magistrados que firmaron este voto particular, las aulas universitarias no son lugares públicos ni privados; son los lugares donde los profesores se reúnen e interactúan con sus alumnos, siendo esta interacción de naturaleza particular, no puramente social. En ella, el profesor tiene una razonable expectativa de privacidad, basada en la libertad académica que ampara la actividad docente y de aprendizaje, y entendida en el sentido de que el profesor puede razonablemente esperar que lo que está ocurriendo durante su clase solo pueda ser seguido por quienes tienen derecho a asistir y quienes efectivamente asisten (con excepciones, como la grabación de la clase para fines educativos, por ejemplo para permitir su uso por alumnos que no pueden asistir a clase); sin que haya, por tanto, «atención no deseada» por parte de terceros. Y ello porque en el aula el profesor puede permitirse actuar de un modo en el que quizá nunca se comportaría fuera de ella. Con base en todo lo anterior, entendieron aplicable el art. 8 CEDH.

Por su parte, los magistrados que suscribieron el voto particular disidente sostuvieron que la sentencia «expande» el alcance del derecho a la vida privada del art. 8 CEDH sin base suficiente ni en la jurisprudencia del propio Tribunal ni en la ley. En este sentido, citaron decisiones anteriores del TEDH en las que se afirma que el concepto de «vida privada» no puede aplicarse a sitios que son libremente accesibles para el público y que se usan para actividades no relacionadas con la esfera privada de las personas; así como que el uso de cámaras de seguridad en lugares o calles públicos no es contrario al art. 8 CEDH, sin perjuicio de que la grabación, el almacenaje sistemático o permanente y el uso de datos puede interferir con la vida privada, aun cuando se hayan grabado en lugares públicos. Así pues, según estos magistrados, de la jurisprudencia anterior del Tribunal se desprende que la videovigilancia no constituye, en sí misma, una interferencia con las vidas privadas de las personas vigiladas, sino que la existencia o no de dicha interferencia depende de diversos factores, tales como el lugar en que se instalan las cámaras, la naturaleza de las actividades controladas, si la videovigilancia está dirigida y es sistemática, si las personas vigiladas tenían una expectativa razonable de privacidad, si habían sido previamente informadas, o si la información es almacenada, procesada y utilizada. Pues bien, de acuerdo con ello, se sostiene que en el caso concreto había que tener en cuenta: a) que las aulas universitarias son espacios semipúblicos, en los que el profesor lleva a cabo una actividad profesional; b) que los profesores demandantes tenían una expectativa razonable de intimidad «muy limitada», ya que habían sido previamente notificados de la instalación de cámaras en las aulas; c) que la videovigilancia era remota, que no había grabación de voz ni por tanto de la enseñanza o los debates, que las imágenes eran borrosas y que no se podía reconocer fácilmente a las personas, y d) que las grabaciones solo estaban disponibles para el decano y que se borraban automáticamente al cabo de treinta días, y que los datos almacenados no eran utilizados. Por consiguiente, a su entender no había interferencia con la vida privada de los profesores.

Así las cosas, procede determinar la naturaleza pública o privada de las aulas universitarias y si los profesores demandantes tenían o no una expectativa razonable de intimidad en ellas.

3. El derecho a la protección de datos personales como contenido del derecho a la vida privada del art. 8 CEDH. la imagen como dato protegido[Subir]

Junto con el aspecto relativo a la «privacidad» de los profesores, la sentencia Antović plantea la cuestión de la imagen de aquellos como dato de carácter personal. A este respecto, pese a no mencionarse expresamente —como es lógico por su fecha de aprobación—, los datos personales quedan tutelados mediante la protección del derecho a la vida privada y familiar del art. 8 CEDH, según afirma el TEDH —sentencias de 26 de marzo de 1987, Leander; 4 de mayo de 2000, Rotaru; 5 de septiembre de 2017 (Gran Sala), Bârbulescu II; 9 de enero de 2018, López Ribalda y otros—.

En la Carta de Derechos Fundamentales de la UE, en cambio, la protección de datos sí se recoge como un derecho fundamental autónomo, aunque íntimamente relacionado con la vida privada y familiar. En efecto, el art. 7 del mencionado texto garantiza el respeto de la vida privada y familiar, el domicilio y las comunicaciones, mientras que el art. 8 consagra el derecho a la protección de datos de carácter personal. La regulación comunitaria se completa con dos normas: el Reglamento (UE) 2016/679, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (RGPD^‍‍[17]), y la Directiva (UE) 2016/680, de 27 de abril de 2016, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales por parte de las autoridades competentes para fines de prevención, investigación, detección o enjuiciamiento de infracciones penales o de ejecución de sanciones penales, y a la libre circulación de dichos datos, y por la que se deroga la Decisión Marco 2008/977/JAI del Consejo DOUEL 04-‍05-2016 119 C^‍‍[18].

En España, el art. 18.4 CE consagró el derecho a la protección de datos de carácter personal como derecho autónomo respecto del de intimidad personal y familiar recogido en el apdo. primero del mismo precepto. El TC (S. 292/2000, de 30 de noviembre, RTC 2000/292) destacó dos diferencias entre los derechos mencionados: la primera es que el derecho fundamental a la protección de datos amplía la garantía constitucional a aquellos datos que, referidos o no al ámbito íntimo de la persona, identifiquen o permitan la identificación de esta o sirvan para cualquier utilidad que en determinadas circunstancias constituya una amenaza para el individuo; y la segunda consiste en que mientras que el derecho a la intimidad personal y familiar permite excluir ciertos datos de una persona del conocimiento ajeno, el derecho a la protección de datos garantiza a los individuos un poder de disposición sobre estos datos; o dicho de otro modo, en tanto que el derecho a la intimidad personal y familiar confiere a la persona el poder jurídico de imponer a terceros el deber de abstenerse de toda intromisión en la esfera íntima de la persona y la prohibición de hacer uso de lo así conocido, el derecho a la protección de datos atribuye a su titular un haz de facultades consistente en diversos poderes jurídicos cuyo ejercicio impone a terceros deberes jurídicos para garantizar a la persona un poder de control sobre sus datos personales (FJ 6^‍‍[19]).

Pues bien, entre los datos personales el TEDH incluye la propia imagen, al permitir por sí sola, al menos potencialmente, la identificación de una persona (entre otras, SSTEDH de 28 de enero de 2003, Peck; 15 de enero de 2009, Reklos y Davourlis, párr. 40, y 9 de enero de 2018, López Ribalda y otros, párr. 56). En esta línea, los dos fallos citados en último lugar sostienen que «[l]a imagen de una persona constituye uno de los principales atributos de su personalidad, ya que revela características únicas y la distingue de sus semejantes. El derecho a la protección de la propia imagen es, por tanto, uno de los componentes esenciales del desarrollo personal y presupone el derecho a controlar el uso de dicha imagen».

En España, tampoco hay duda de que la imagen es un dato de carácter personal cubierto por el art. 18.4 CE, como ha afirmado nuestro TC (SS. 292/2000, de 30 de noviembre, RJC 2000/292, FJ 6; 29/2013, de 11 de febrero, EDJ 2013/28049, FJ 5, y 39/2016, de 3 de marzo, RJC 2016/39, FJ 3). Así se desprendía, según el Alto Tribunal, del art. 3 LOPD 15/1999, que considera dato de carácter personal «cualquier información concerniente a personas físicas identificadas o identificables», así como del art. 5.1. f) del RD 1720/2007, que desarrolla dicha ley, que expresamente considera la información gráfica o fotográfica como un dato de carácter personal (como ya hiciera el art. 1.4 del derogado RD 1332/1994, de desarrollo de la LOPD 5/1992, también derogada). Con base en la LOPD de 1999 y el RD de 1994, entonces vigentes, la Instrucción 1/2006, de 8 de noviembre, de la AEPD, sobre el tratamiento de datos personales con fines de vigilancia a través de sistemas de cámaras o videocámaras, corroboró la condición de la imagen como dato de carácter personal ( ‍Navalpotro Ballesteros, T. (2007). Los derechos individuales frente a la videovigilancia pública. Una necesaria mirada retrospectiva a la sentencia Peck del Tribunal Europeo de Derechos Humanos. Revista Española de Derecho Administrativo, 135, 1-‍13.Navalpotro Ballesteros, 2007: 6).

Hoy hay que atender, sin embargo, a lo dispuesto en el RGPD, que desde el 25 de mayo de 2018 es aplicable en todos los Estados miembros, como se ha dicho, sustituyendo a las normativas nacionales. No obstante, la nueva regulación no implica cambio alguno en el concepto de datos personales. En efecto, el citado reglamento, de forma muy similar a la derogada Dir. 95/46/CE (art. 2.a), define los datos personales como «toda información sobre una persona física identificada o identificable», entendiendo por «persona física identificable», a estos efectos, «toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona» (art. 4.1) RGPD.

Así las cosas, es claro que la imagen de una persona es un dato de carácter personal a los efectos del RGDP, como expresamente ha afirmado la AEPD en reiteradas ocasiones^‍‍[20].

Lo que podría plantear alguna duda es si la imagen captada por una videocámara es un dato biométrico, esto es, un tipo concreto de dato personal que el art. 9 RGPD incluye entre las que califica como «categorías especiales de datos personales», a los efectos de aplicarles un régimen específico. De acuerdo con el art. 4.14 del Reglamento, los datos biométricos son «datos personales obtenidos a partir de un tratamiento técnico específico, relativos a las características físicas, fisiológicas o conductuales de una persona física que permitan o confirmen la identificación única de dicha persona, como imágenes faciales o datos dactiloscópicos» (art. 4.14). Pues bien, con base en esa definición tan genérica^‍‍[21], hay quien sostiene que las imágenes faciales captadas por videovigilancia —entendiendo esta como un tratamiento técnico específico— pueden constituir datos biométricos en determinados supuestos; concretamente, cuando el responsable del tratamiento tenga la información suficiente como para permitirle vincular las imágenes faciales captadas con personas identificadas, dichas imágenes serán datos biométricos ( ‍García Herrero, J. (2018). Videovigilancia y RGPD (II). Ocho preguntas con respuesta —control laboral y más—. Jorge García Herrero [blog], 23-‍4-2018. Disponible en: https://bit.ly/2NHw9xd.García Herrero, 2018). Sin embargo, a mi modo de ver, la videovigilancia no puede considerarse como un «tratamiento técnico específico» a los efectos del RGDP, en la medida en que este concepto debe interpretarse en el sentido de tratamiento biométrico, esto es, basado en la medición de datos o procesos biológicos mediante el uso de técnicas matemáticas y estadísticas^‍‍[22]. De hecho, así es como lo ha entendido reiteradamente la AEPD en los informes jurídicos sobre videovigilancia que ha emitido con aplicación del reglamento europeo^‍‍[23].

1. La conformidad con la ley. la base jurídica legitimadora de la videovigilancia en las aulas universitarias[Subir]

El TEDH ha declarado que la expresión «de acuerdo con la ley» del art. 8.2 CEDH requiere, en primer lugar, que las medidas utilizadas tengan alguna base en la normativa nacional, y, en segundo lugar, que dicha normativa proporcione mecanismos de salvaguarda frente a las arbitrariedades. Ello implica que la ley debe ser suficientemente clara en sus términos para proporcionar a los ciudadanos una indicación adecuada sobre las circunstancias y condiciones en las que las autoridades están legitimadas para recurrir a tales medidas, a fin de que aquellos puedan prever las consecuencias^‍‍[30].

En resumidas cuentas, para que una injerencia sea acorde con la ley, son necesarios dos requisitos: uno de carácter formal (que la medida esté recogida en una ley nacional) y otro sustantivo (que dicha ley sea accesible y previsible) ( ‍Schabas, W. (2015). The European Convention on Human Rights. A Commentary. Oxford: Oxford University Press. Schabas, 2015: 402-‍403^‍‍[31]).

En el caso Antović, el Tribunal declara como normativa nacional aplicable la formada por los preceptos constitucionales que garantizan el derecho a la vida privada y familiar, incluidos los datos de carácter personal (arts. 40 y 43 Constitución de Montenegro de 2007) y por los arts. 10, 21, 35 y 36 de la Ley de Protección de Datos Personales (LPDP).

De acuerdo con estas normas, los datos personales solo pueden ser procesados previo consentimiento de la persona afectada, la cual puede revocarlo en cualquier momento (art. 10 LPDP). Además, la persona responsable del tratamiento de los datos recogidos debe informar a la persona afectada de, entre otras cosas, los fundamentos legales, el propósito del tratamiento y el derecho de acceso a la información (art. 21 LPDP). El art. 35.1 señala, por su parte, que las instituciones públicas pueden instalar videovigilancia en las áreas de acceso a instalaciones oficiales, a lo que el art. 36 añade que la videovigilancia en lugares oficiales o empresas puede utilizarse para asegurar la seguridad de las personas o los bienes o para la protección de datos confidenciales siempre que estos fines no puedan conseguirse por ningún otro medio.

Sobre esa base, el TEDH, en la misma línea que la agencia, entendió que no se había respetado el art. 35.1 LPDP, ya que las cámaras no se habían instalado en las áreas de acceso a la facultad, sino en el interior de los anfiteatros. Asimismo, en cuanto al art. 36, declaró que la vigilancia de la enseñanza, que había sido uno de los motivos alegados por el decano para la instalación de la videovigilancia, no está recogida por la ley como uno de los fines que justificaban aquella; así como que, respecto a la protección de las personas y los bienes, que sí se recoge entre tales fines, la agencia estatal de protección de datos admitió expresamente que no existía evidencia de riesgo para los mismos, sin que el Gobierno hubiera aportado prueba suficiente en contrario ni hubiera justificado la valoración de algún otro medio alternativo.

Por estas razones, el TEDH concluye afirmando la violación del art. 8 CEDH, por faltar los requisitos legales que justificarían la intromisión en la vida privada de los demandantes^‍‍[32].

Si los hechos hubieran ocurrido en España, por la fecha en que se dieron se habría aplicado el art. 6 LOPD, según el cual el tratamiento de los datos de carácter personal exige el consentimiento inequívoco del afectado o una habilitación legal expresa. Esta habilitación legal se da, entre otros supuestos, cuando los datos de carácter personal se recojan para el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias y cuando se refieran a las partes de un contrato o precontrato de una relación negocial, laboral o administrativa y sean necesarios para su mantenimiento o cumplimiento.

Pues bien, el ejercicio de las funciones propias de las Administraciones públicas en el ámbito de sus competencias habría legitimado el uso de cámaras de videovigilancia con fines de seguridad, mientras que la captación y grabación de imágenes de los profesores de universidad con un fin de control de la enseñanza, entendiendo este como control laboral, quedaría justificado en el hecho de tratarse de datos referidos a las partes de un contrato de una relación negocial, laboral o administrativa y necesarios para su mantenimiento o cumplimiento, según la interpretación amplia que de este supuesto hace el TC español. En este sentido, el citado órgano ha declarado que «en el ámbito laboral el consentimiento del trabajador pasa, por tanto, como regla general, a un segundo plano pues el consentimiento se entiende implícito en la relación negocial siempre que el tratamiento de datos de carácter personal sea necesario para el mantenimiento y el cumplimiento del contrato firmado por las partes, lo que abarca, sin duda, las obligaciones derivadas del contrato de trabajo» (STC 39/2016, de 3 de marzo, FJ 3).

En la misma línea, la AEPD afirma que el artículo 20.3 del Texto Refundido del Estatuto de los Trabajadores, aprobado por Real Decreto Legislativo 2/2015, de 23 de octubre (ET), en relación con el art. 6 LOPD, legitimaría, en principio, al empleador para tratar las imágenes de los trabajadores en el ámbito laboral con carácter general ( ‍Agencia Española de Protección de Datos (2014). Informe 0475/2014. Sistema de videovigilancia en guardería para control laboral. Disponible en: https://bit.ly/2MrsWx9.Informe 0475/2014^‍‍[33]). De acuerdo con el citado art. 20.3 ET, el empresario «podrá adoptar las medidas que estime más oportunas de vigilancia y control para verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales, guardando en su adopción y aplicación la consideración debida a su dignidad y teniendo en cuenta, en su caso, la capacidad real de los trabajadores con discapacidad».

No hay previsión específica, en cambio, en cuanto a los empleados públicos, y conviene recordar que los profesores de universidades públicas pueden estar unidos con ella por virtud de una relación laboral o administrativa. No obstante, la STS de 2 de julio de 2007 (Rec. 5017/2003) declaró que la obligación de aquellos de cumplir con su horario de trabajo es inherente a la relación que les une con la Administración, por lo que el control, por parte de esta, de dicho cumplimiento, utilizando un mecanismo de lectura biométrica de la mano mediante un escáner que utiliza rayos infrarrojos, no necesita el consentimiento previo de los afectados, con base en el art. 6.2 LOPD. Cabría entender, por tanto, con base en esta sentencia, que la citada norma era fundamento suficiente del control laboral de los empleados públicos con carácter general.

Por otra parte, en el ámbito universitario hay que hacer referencia también a la LO 4/2007, de 12 de abril, por la que se modifica la LO 6/2001, de 21 de diciembre, de Universidades. Dicha norma declara aplicable la regulación de la LOPD al tratamiento y la cesión de datos derivados de lo dispuesto, y ordena a las universidades la adopción de las medidas de índole técnica y organizativa necesarias para garantizar la seguridad de los datos de carácter personal y evitar su alteración, tratamiento o acceso no autorizados.

El nuevo RGPD de 2016 mantiene el fundamento de la licitud del tratamiento en el consentimiento del interesado o en la concurrencia de alguna de las circunstancias que enumera el art. 6.1 en las letras b) a h). Estas circunstancias son más numerosas que las previstas en la LOPD, habiéndose añadido los supuestos en que el tratamiento sea necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento, para proteger intereses vitales, no solo del interesado sino también de otra persona física, o para satisfacer intereses legítimos perseguidos por el responsable del tratamiento o por un tercero (sin exigir que los datos figuren en fuentes accesibles al público), siempre que sobre dichos intereses no prevalezcan los intereses o los derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.

En el caso de videovigilancia en las aulas de una universidad pública, la base jurídica legitimadora de entre las previstas en el RGPD vendría dada por la necesidad del tratamiento para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento y por la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero^‍‍[34].

A lo dispuesto en el art. 6 RGDP, añade el art. 88, específicamente dedicado al tratamiento en el ámbito laboral, que los Estados miembros podrán, a través de disposiciones legislativas o de convenios colectivos, establecer normas más específicas para garantizar la protección de los derechos y libertades en relación con el tratamiento de datos personales de los trabajadores en el ámbito laboral. Dichas normas incluirán medidas adecuadas y específicas para preservar la dignidad humana de los interesados, así como sus intereses legítimos y sus derechos fundamentales, prestando especial atención a la transparencia del tratamiento, a la transferencia de los datos personales dentro de un grupo empresarial o de una unión de empresas dedicadas a una actividad económica conjunta y a los sistemas de supervisión en el lugar de trabajo.

Sobre esa base, el art. 22 del Proyecto de Ley Orgánica de Protección de Datos de Carácter Personal, regulador de los tratamientos de datos personales con fines de videovigilancia^‍‍[35], dispone que las personas físicas o jurídicas, públicas o privadas, podrán llevar a cabo el tratamiento de imágenes a través de sistemas de cámaras o videocámaras con dos finalidades: a) preservar la seguridad de las personas y bienes, así como de sus instalaciones, y b) el ejercicio de las funciones de control de los trabajadores previstas en el artículo 20.3 ET, siempre que estas funciones se ejerzan dentro de su marco legal y con los límites inherentes al mismo^‍‍[36].

Ahora bien, la existencia de una habilitación legal que ampare la instalación de cámaras no es suficiente, sino que es precisa la información al afectado por el tratamiento de datos. En este sentido, antes de la entrada en vigor del RGPD, debía atenderse al art. 5.4 LOPD, que impone que la persona afectada haya sido informada por el responsable del fichero o su representante «de forma expresa, precisa e inequívoca», ya sea con anterioridad, ya sea en los tres meses siguientes al momento del registro de los datos, del contenido del tratamiento, de la procedencia de los datos, de la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de estos y de los destinatarios de la información, de la posibilidad de ejercitar los derechos de acceso, rectificación, cancelación y oposición, y de la identidad y dirección del responsable del tratamiento o, en su caso, de su representante^‍‍[37].

El derecho a ser informado de quién posee los datos personales y con qué fin es, según el TC, «elemento caracterizador de la definición constitucional del art. 18.4 CE, de su núcleo esencial», y solo si existe una habilitación legal expresa puede limitarse; cosa que no ocurre en el ámbito de las relaciones laborales (SSTC 29/2013, de 11 de febrero, EDJ 2013/28049, FJ 7, y 39/2016, de 3 de marzo, RJC 2016/39, FJ 3). A estos efectos, mientras que en la STC 29/2013 se afirmó que esa información debe darse de forma específica, sin que sea suficiente el hecho de que existan carteles anunciando la instalación de cámaras y captación de imágenes en el recinto universitario, como exige la ya citada Instrucción 1/2006 de la AEPD^‍‍[38], en la reciente STC 39/2016 (del Pleno) se corrige la anterior doctrina y se declara que a efectos de cumplir con la obligación de información previa basta con el cumplimiento de los requisitos específicos de información a través del distintivo, de acuerdo con la Instrucción 1/2006; «sin que haya que especificar, más allá de la mera vigilancia, la finalidad exacta que se le ha asignado a ese control» (FJ 4^‍‍[39]).

El TS ha aplicado la doctrina de la STC de 3 de marzo de 2016 en sus últimos pronunciamientos en esta materia, a saber, las SSTS 630/2016, de 7 de julio (RJ 2016/77), de 31 de enero (RJ 2017/1427); 86/2017, de 1 de febrero (RJ 2017/1105); 96/2017, de 2 de febrero (RJ 2017/1628^‍‍[40]).

En opinión de Bru y Gutiérrez ( ‍Bru, P. y Gutiérrez, J. (2017). Sobre la videovigilancia en el centro de trabajo y el nuevo Reglamento Europeo de Protección de Datos. Actualidad Jurídica Aranzadi, 932, 1-‍2. BIB 2018/9702.2017: 2), la nueva línea interpretativa de los tribunales españoles no cumple los requisitos de transparencia y refuerzo de información establecidos por el RGPD y por el GT29 en su Opinión 2/2017 sobre el tratamiento de datos en el trabajo.

Veamos. El Reglamento europeo añade un nuevo principio, el de transparencia (art. 5.1 a), que, además de imponer el deber de informar de ciertas cuestiones a la persona afectada, exige que la información y comunicación relativa al tratamiento de los datos se presente al interesado de forma concisa, transparente, inteligible y de fácil acceso, y con un lenguaje claro y sencillo. La información puede facilitarse por escrito o por otros medios (art. 12.1), lo que teóricamente permitiría el formato del cartel con los requisitos exigidos por la ley. Ahora bien, los arts. 13 y 14 RGPD especifican la información concreta que debe facilitarse al interesado, distinguiendo en función de que los datos personales se obtengan de él o no. En este segundo caso, que es el que aquí interesa, el art. 14.1 c) se refiere «a los fines del tratamiento a que se destinan los datos personales, así como la base jurídica del tratamiento^‍‍[41]», lo que, a mi juicio, choca con la afirmación de los tribunales españoles de que basta con advertir de la existencia de la vigilancia, sin necesidad de especificar la finalidad exacta que se le ha asignado a ese control^‍‍[42].

El art. 22 del Proyecto de LOPD, que, como se ha dicho, regula específicamente los tratamientos de datos personales con fines de videovigilancia, se refiere también a las exigencias de información. En el caso de que la finalidad sea preservar la seguridad de las personas y los bienes, así como de sus instalaciones, dispone que el deber de información previsto en el art. 12 RGPD se entenderá cumplido mediante la colocación de un dispositivo informativo en lugar suficientemente visible, identificando, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercitar los derechos previstos en los artículos 15 a 22 del citado reglamento. Se establece además que, en todo caso, el responsable del tratamiento deberá mantener a disposición de los afectados la información a la que se refiere el citado reglamento (art. 22.4 Proyecto).

Cuando la videovigilancia se utilice para el ejercicio de las funciones de control de los trabajadores previstas en el artículo 20.3 ET, los empleadores deberán informar a los trabajadores acerca de la medida. Además, para zanjar la polémica hasta ahora existente, se añade que en el supuesto de que las imágenes hayan captado la comisión flagrante de un acto delictivo, la ausencia de la información a la que se refiere el apartado anterior no privará de valor probatorio a las imágenes, sin perjuicio de las responsabilidades que pudieran derivarse de dicha ausencia (art. 22.5 Proyecto).

2. Los fines legítimos[Subir]

El apdo. 2 del art. 8 CED recoge una lista cerrada de fines que legitiman la interferencia. Son los siguientes: la seguridad nacional, la seguridad pública, el bienestar económico del país, la defensa del orden y la prevención del delito, la protección de la salud o de la moral, o la protección de los derechos y las libertades de los demás.

La doctrina critica tanto la indefinición como el elevado número de fines ( ‍Rebollo Delgado, L. (s. f.). Vida privada y protección de datos: un acercamiento a la regulación internacional europea y española. Biblioteca Jurídica Virtual del Instituto de Investigaciones Jurídicas de la UNAM, 263-318. Disponible en: https://archivos.juridicas.unam.mx/www/bjv/libros/6/2758/10.pdfRebollo Delgado, s. f.: 283), que favorece a los Estados demandados, los cuales no suelen tener problema para justificar la interferencia con base en alguno de ellos ( ‍Harris et al. (2014). Law of the European Convention on Human Rights. 3.ª ed. Oxford: Oxford University Press. Harris et al., 2014: 510); especialmente porque el TEDH tiende a aplicarlos de forma amplia y liberal ( ‍Schabas, W. (2015). The European Convention on Human Rights. A Commentary. Oxford: Oxford University Press. Schabas, 2015: 404).

En el supuesto que nos ocupa, los fines que podrían haber justificado la injerencia habrían sido la defensa del orden y la prevención del delito^‍‍[43], por lo que se refiere a la evitación de robos y disturbios en la universidad, y la protección de los derechos y las libertades de los demás^‍‍[44], respecto a los derechos de la Universidad de Montenegro en cuanto que empleador. Sin embargo, según se ha visto, pese a que la sentencia parte de la consideración de las aulas universitarias como lugares de trabajo de los profesores demandantes y se refiere a la inclusión de las relaciones laborales en el ámbito de la vida privada, la solución del caso no se basa en la aplicación de normas laborales ni se busca con la perspectiva de la obligación positiva del Estado de garantizar el equilibrio entre el derecho del empleado al respeto de su vida privada y su correspondencia y el interés del empresario en la protección de sus derechos de dirección y organización^‍‍[45].

Así, da la impresión de que el enfoque declarado por el Tribunal no coincide con el realmente adoptado, el cual, curiosamente, se corresponde con el que los magistrados firmantes del voto particular concurrente dicen que habrían preferido que adoptara aquel y que, a mi modo de ver, era el más acertado. En efecto, tanto la sentencia como el voto particular concurrente ponen de manifiesto que en las aulas u otros espacios de impartición de docencia se entablan relaciones que van más allá de esta, pues afectan también a las interacciones de otro tipo relacional y social entre el profesorado y el alumnado (y entre los alumnos, no lo olvidemos), por lo que los hechos representaban algo más que una interferencia del empleador en la vida privada de sus empleados^‍‍[46].

Por lo que se refiere a España, la concreción de esos fines legítimos se recoge en el art. 6 LOPD, el art. 6 RGDP y el art. 22 Proyecto LOPD, como se ha visto en el apartado anterior, al que me remito.

3. La necesidad de la interferencia en una sociedad democrática. el principio de proporcionalidad[Subir]

Comprobada la previsión de la medida que implica una injerencia en el derecho a la vida privada, así como la existencia de un fin legítimo para la misma, el último requisito necesario para justificar la intromisión es que sea necesaria en una sociedad democrática. A este respecto el TEDH ha declarado que si bien «necesario» no es sinónimo de «indispensable», tampoco puede identificarse con «admisible», «ordinario», «útil», «razonable» o «deseable» (S. de 7 de diciembre de 1976, Handyside, párr. 48); así como que el concepto de necesidad implica que una interferencia responde a una «apremiante necesidad social» y, en particular, que es proporcionada al fin legítimo que persigue (S. de 24 de marzo de 1988, Olsson, párr. 67).

Se dice que, en última instancia, la determinación de lo que es necesario en una sociedad democrática debe hacerse por referencia al equilibrio entre los derechos de los individuos y el interés público, a través de la aplicación del principio de proporcionalidad ( ‍Kilkelly, U. (2001). The right to respect for private and family life. A guide to the implementation of Article 8 of the European Convention on Human Rights. Human rights handbooks, 1. Disponible en: https://rm.coe.int/168007ff47.Kilkelly, 2001: 31;  ‍Roagna, I. (2012). Protecting the right to respect for private and family life under the European Convention on Human Rights. Council of Europe human rights handbooks. Estrasburgo: Consejo de Europa. Disponible en: https://bit.ly/2x7eCnG.Roagna, 2012: 44;  ‍Harris et al. (2014). Law of the European Convention on Human Rights. 3.ª ed. Oxford: Oxford University Press. Harris et al., 2014: 519).

Pues bien, a la hora de llevar a cabo este juicio, el TEDH concede un amplio margen de discrecionalidad a los Estados contratantes^‍‍[47]. Y ello porque considera que normalmente están en mejor posición para comprobar la necesidad y la proporcionalidad de una medida en el contexto cultural y socioeconómico correspondiente^‍‍[48]. No obstante, aunque las autoridades nacionales realizan la comprobación inicial de necesidad, la evaluación final sobre si las razones aducidas para la injerencia son relevantes y suficientes y, por tanto, conformes con el CEDH, debe llevarse a cabo por el Tribunal de Estrasburgo (SSTEDH de 7 de diciembre de 1976, Handyside, párr. 49, y 2 de junio de 2009, Szuluk, párr. 45).

Para la valoración de la proporcionalidad, el Tribunal toma en consideración factores diversos. Así, se considerará desproporcionada una medida cuando no era necesaria o cuando el objetivo perseguido no podía lograrse con la misma; o cuando existían otras medidas menos severas que pudieran haberse aplicado logrando el mismo objetivo ( ‍Harris et al. (2014). Law of the European Convention on Human Rights. 3.ª ed. Oxford: Oxford University Press. Harris et al., 2014: 519;  ‍Schabas, W. (2015). The European Convention on Human Rights. A Commentary. Oxford: Oxford University Press. Schabas, 2015: 406). Por el contrario, se puede considerar que la medida no será desproporcionada si es limitada en su aplicación y efectos, y viene acompañada de medidas legales de salvaguarda que impidan que el individuo esté sujeto a un trato arbitrario (STEDH de 27 de agosto de 1997, M. S.).

También el TC español exige, para admitir la constitucionalidad de las medidas empresariales restrictivas de derechos fundamentales, la superación del test de proporcionalidad, formado por tres elementos: idoneidad, necesidad y proporcionalidad en sentido estricto, según los cuales la medida ha de ser adecuada y necesaria para alcanzar el fin que se propone, de modo que no exista otra medida menos lesiva para el derecho fundamental afectado que hubiera bastado para conseguir aquel fin, y además ha de ser equilibrada, en el sentido de derivarse de ella más beneficios para el interés general que perjuicios sobre otros bienes o valores en conflicto (STC 98/2000, de 10 de abril, EDJ 2000/4330; STC 29/2013, de 11 de febrero, EDJ 2013/28049, FJ 5, y STC 39/2016, de 3 de marzo, RJC 2016/39, FJ 5). Se trata, en definitiva, de respetar el principio de intervención mínima ( ‍Goñi Sein, J. L. (2007). La videovigilancia empresarial y la protección de datos personales. Cizur Menor (Navarra): Thomson-Civitas.Goñi Sein, 2007: 41;  ‍Blázquez Aguado, E. M. (2017). La implantación de un protocolo de videovigilancia en el centro de trabajo. Revista Aranzadi de Derecho y Nuevas Tecnologías, 43, 1-‍18.Blázquez Aguado, 2017: 3), de modo que la limitación de los derechos fundamentales sea la estrictamente indispensable ( ‍Mercader Uguina, J. (2002). Derecho del trabajo. Nuevas tecnologías y sociedad de la información. Valladolid: Lex Nova. Mercader Uguina, 2002: 103;  ‍Blázquez Aguado, E. M. (2017). La implantación de un protocolo de videovigilancia en el centro de trabajo. Revista Aranzadi de Derecho y Nuevas Tecnologías, 43, 1-‍18.Blázquez Aguado, 2017: 3).

El RGPD recoge el principio de proporcionalidad en el art. 5.1 c), con la denominación «minimización de datos», al establecer que los datos personales serán «adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados». El considerando 39 explica que ello se traduce, en lo que aquí interesa, en que «los datos personales solo deben tratarse si la finalidad del tratamiento no pudiera lograrse razonablemente por otros medios».

Por lo que se refiere a la videovigilancia, el GT29 ha señalado que el principio de proporcionalidad debe aplicarse tanto respecto a la adopción de la medida como a la forma de llevarla a cabo. En cuanto al primer aspecto, en línea con lo establecido en el cdo. 39 RGPD, afirma que la videovigilancia solo debe usarse de forma subsidiaria, es decir, cuando realmente exista una justificación. Respecto al segundo, indica que la proporcionalidad exige tener en cuenta, por un lado, consideraciones como el ángulo visual, el tipo de equipamiento utilizado, la ubicación del mismo, la posibilidad de alejar y acercar la imagen, la existencia de función de congelado de imágenes, la conexión con un «centro» para enviar alertas de sonido y/o imagen, y las medidas adoptadas como consecuencia de la videovigilancia; y, por otro, la decisión de grabar y guardar las imágenes y el tiempo de almacenamiento ( ‍Article 29. Data Protection Working Party (2004). Opinion 4/2004 on the Processing of Personal Data by means of Video Surveillance (11750/02/EN. WP 80). Adopted on 11 February 2004. Disponible en: https://bit.ly/2NH8ahM.2004: 18-‍20).

También la Instrucción 1/2006 hace especial referencia a la necesidad de ponderar los bienes jurídicos protegidos en relación, concretamente, con la instalación de sistemas de videocámaras. Así, señala que la instalación de este tipo de dispositivos deberá respetar el principio de proporcionalidad, valorando así la posibilidad de adoptar otros medios menos intrusivos a la intimidad de las personas, con el fin de prevenir interferencias injustificadas en los derechos y libertades fundamentales. En este sentido, la AEDP afirma que «[l]a instalación de cámaras de videovigilancia sería una medida proporcional y justificada si se cumplen los siguientes requisitos: 1. Que se trate de una medida susceptible de conseguir el objetivo propuesto. 2. Que no exista otra medida más moderada para la consecución de tal propósito con igual eficacia. 3. Que la misma sea ponderada o equilibrada, por derivarse de ella más beneficios o ventajas para el interés general que perjuicios sobre otros bienes o valores en conflicto» ( ‍Agencia Española de Protección de Datos (2017). Informe 0186/2017. Sistema de videovigilancia en aulas universitarias para control de exámenes. Disponible en: https://bit.ly/2x4KvhC.Informe 0186/2017^‍‍[49]).

En la sentencia que nos ocupa el Tribunal no se ocupó del juicio de proporcionalidad, en la medida en que, como ya se ha dicho, el no acomodo de la medida a la ley le llevó a considerar infringido el art. 8 CEDH, sin necesidad de valorar el resto de requisitos. No obstante, merece la pena preguntarse si el uso de videovigilancia en las aulas universitarias, de haber gozado de base jurídica y responder a un fin legítimo, habría sido proporcional. A la vista de los factores señalados, mi conclusión es que no, tanto porque la medida no parecía ser eficaz para los objetivos pretendidos como porque, al menos para uno de ellos, se podría haber utilizado otro medio menos invasivo.

Por lo que se refiere a la primera cuestión, cabe recordar que, según declaró el propio Gobierno montenegrino en su defensa, las cámaras proporcionaban una imagen a distancia sin resolución clara y no tenían zoom, por lo que los rasgos de las personas no podían ser fácilmente reconocidos, además de que no grababan sonido. Un sistema de videovigilancia con tales características ¿podía servir para lograr los objetivos alegados por el decano (a saber, control de la enseñanza y seguridad)? Y si no era útil a tales efectos, ¿cómo podría ser necesario^‍‍[50]?

Respecto a la segunda, el fin de seguridad se habría logrado instalando las cámaras en las áreas de acceso a la facultad, que es, además, lo único que permite el art. 35.1 de la Ley de Protección de Datos de Montenegro. Y el control de la enseñanza puede llevarse a cabo mediante otros métodos no lesivos de los derechos de los profesores, como encuestas de docencia al alumnado o sistemas de control de horario, por ejemplo.