Cámaras de seguridad y protección de datos en Colombia (Ley 1581 de 2012)

Es legal si se cumple el régimen de protección de datos. La Superintendencia de Industria y Comercio (SIC) considera que captar, grabar, almacenar o reproducir imágenes de personas identificables es tratamiento de datos personales, y que esto cubre conjuntos, edificios, parqueaderos, establecimientos y entornos laborales.

La SIC advierte que la videovigilancia es intrusiva: conviene preguntarse antes si hay un medio que afecte menos la privacidad. Sus guías de referencia son la de videovigilancia (2016) y la de propiedad horizontal (edición 2020).

La SIC pide no instalar cámaras donde recoger imágenes pueda afectar la imagen o la vida privada e íntima de las personas. No da una lista de lugares; el criterio es de proporcionalidad. En el diseño, S4 trata como zonas de intimidad los baños, los vestuarios y las áreas de cambio de ropa, y evita apuntar a espacios privados de terceros.

La vía pública es un caso aparte. Según la SIC, garantizar la seguridad en espacios públicos corresponde al Estado. Un particular solo debería captar la franja inevitable para proteger su acceso, como la entrada o la portería, y solo lo más cercano al espacio vigilado.

El aviso debe cumplir, como mínimo, el contenido de un aviso de privacidad (Decreto 1377 de 2013, compilado en el Decreto 1074 de 2015):

Debe ser visible y legible donde opera: porterías, ascensores, garajes y accesos.

Sí. El tratamiento requiere consentimiento previo, expreso e informado, que debe pedirse a más tardar al recolectar el dato. Puede darse por escrito, de forma oral o por conductas inequívocas, y el silencio nunca cuenta como autorización. La SIC acepta que el aviso en la entrada sirva como mecanismo para informar y obtener esa autorización. El responsable debe conservar prueba de ella.

La política de tratamiento debe constar en medio físico o electrónico, en lenguaje claro, y traer como mínimo:

• Identificación y contacto del responsable.
• Tratamiento, finalidad y derechos del titular.
• Área que atiende consultas y reclamos, y el procedimiento para ejercer los derechos.
• Fecha de vigencia de la política y período de vigencia de la base de datos.

Las imágenes de menores exigen autorización de sus representantes legales.

La ley no fija un número de días. Los datos se conservan solo el tiempo razonable y necesario según la finalidad y luego se suprimen, salvo que una obligación legal o contractual exija guardarlos. El procedimiento de supresión debe documentarse.

Cada organización define su plazo, lo justifica y lo configura en el equipo.

El acceso debe ser restringido: las imágenes grabadas se visualizan en un área de acceso restringido y el personal con acceso firma cláusulas de confidencialidad.

La divulgación solo procede por personas autorizadas por el titular o por solicitud de una autoridad pública en ejercicio de sus funciones. La Ley 1581 (art. 10) exceptúa la autorización cuando la información la pide una entidad pública o administrativa en ejercicio de funciones legales, o un juez.

Si el titular pide ver su propia imagen, verifique su identidad, pida fecha, hora y lugar para ubicarla y, si aparecen terceros sin autorización, anonimícelos, por ejemplo difuminándolos. La consulta de los datos propios debe ser gratuita al menos una vez por mes calendario.

El Registro Nacional de Bases de Datos (RNBD) lo administra la SIC. Según el Decreto 090 de 2018, están obligados las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT, y las personas jurídicas de naturaleza pública. Según la SIC, el régimen general de protección de datos aplica a todas las sociedades y entidades, aunque no deban registrarse. La copropiedad es una persona jurídica civil sin ánimo de lucro (Ley 675 de 2001, art. 33): si supera ese umbral de activos, confirme con su asesor jurídico si debe inscribirse.

La guía de la SIC señala que la base de datos con las imágenes grabadas debe inscribirse. No hace falta cuando solo se reproducen o emiten imágenes en tiempo real.

Las medidas deben ser técnicas, humanas y administrativas. La SIC menciona limitar el acceso, cifrar la información, hacer auditorías periódicas y tener protocolos para incidentes. Las violaciones de seguridad con riesgo para los titulares deben informarse a la SIC.

Si una empresa de vigilancia o un integrador opera el sistema, actúa como encargado, pero el dueño de las cámaras sigue siendo el responsable. Conviene un contrato que fije las obligaciones de seguridad y confidencialidad del encargado.

En el diseño de un CCTV que cumpla, S4 define desde el inicio:

• Ubicación: campo de visión limitado a lo necesario y sin áreas de intimidad.
• Permisos de usuario: perfiles para ver en vivo, reproducir y exportar, con registro de quién accede.
• Retención configurable: plazo parametrizado por zona o cámara, con borrado automático.
• Cifrado: de grabaciones y del tráfico, con contraseñas individuales y grabadores en sitio restringido.

La SIC puede sancionar a responsables y encargados privados con multas de hasta 2.000 salarios mínimos mensuales legales vigentes, que pueden ser sucesivas mientras dure el incumplimiento. También puede suspender las actividades de tratamiento hasta por seis meses, cerrarlas temporalmente y, si involucran datos sensibles, cerrarlas de forma inmediata y definitiva (Ley 1581, art. 23).

La Ley 1581 (art. 5) incluye los datos biométricos entre los datos sensibles, y su art. 6 prohíbe tratarlos salvo excepciones, entre ellas la autorización explícita del titular. Esto importa si el sistema usa reconocimiento facial.

El costo depende de:

• El número de cámaras y la superficie por cubrir.
• El tipo de cámara y las condiciones de luz.
• El tiempo de retención configurado y la capacidad de almacenamiento que exige.
• Los perfiles de usuario, el cifrado y los grabadores requeridos.
• La analítica de video que se necesite.
• El estado del cableado y de la red existentes.
• La documentación de cumplimiento: avisos, política y procedimientos.