La Agencia Española de Protección de Datos (AEPD) ha sancionado con 1.200 euros a una clínica dental por instalar un sistema de videovigilancia en su gabinete médico que grababa de forma continua imagen y sonido, afectando tanto a pacientes como a empleados, sin base legal suficiente ni información adecuada. Esta práctica vulnera el principio de minimización del tratamiento de datos personales, recogido en el artículo 5.1.c) del Reglamento General de Protección de Datos (RGPD), así como la jurisprudencia consolidada sobre el uso de cámaras en el ámbito laboral y sanitario.
El procedimiento se inició a raíz de la denuncia de una extrabajadora, que afirmó haber sido despedida de manera improcedente y aportó fotografías de las cámaras instaladas en la recepción y en el gabinete, así como una grabación de audio como prueba de que las conversaciones también eran registradas. La exempleada aseguraba que ni los pacientes ni el personal habían sido informados de forma clara, y que no existía cartel informativo visible, aunque esto fue posteriormente discutido por la clínica durante la instrucción del procedimiento.
La grabación de sonido vulnera la intimidad y no cumple con el principio de proporcionalidad
En su análisis, la AEPD admite que la clínica es responsable del tratamiento de datos personales y que la videovigilancia podría justificarse por motivos de seguridad, pero advierte que la grabación de sonido en el interior del gabinete médico supone un tratamiento excesivo e injustificado, máxime en un espacio donde se llevan a cabo actuaciones sanitarias de carácter confidencial.
Apoyándose en el Informe Jurídico 0363/2009 del Gabinete Jurídico de la AEPD, la resolución recuerda que la captación de sonido “solo se justifica en casos excepcionales y por razones de seguridad muy cualificadas”, lo que no concurre en este caso. La clínica no acreditó ninguna situación de riesgo grave ni presentó una evaluación de impacto o análisis de proporcionalidad que sustentara tal medida.
Además, la captación de audio puede dar lugar al tratamiento de información relativa a la salud de los pacientes, lo que incrementa la gravedad del tratamiento y refuerza la exigencia de aplicar los principios del artículo 9 del RGPD sobre categorías especiales de datos.
La instalación de este sistema vulnera el principio de minimización, es decir, el deber de tratar solo los datos estrictamente necesarios para la finalidad perseguida, al no limitarse el tratamiento a los datos adecuados, pertinentes y necesarios para la finalidad alegada (seguridad). En consecuencia, La AEDP considera que existe una infracción del artículo 5.1.c del RGPD, calificada como muy grave a efectos de prescripción conforme al artículo 72.1.a de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
La sanción inicial ascendía a 2.000 euros, pero se aplicaron dos reducciones del 20 %, una por reconocimiento de responsabilidad y otra por pago voluntario, conforme al artículo 85.3 de la Ley 39/2015, quedando la multa en 1.200 euros.
Además de la sanción económica, la AEPD impone una medida correctiva en virtud del artículo 58.2.d) del RGPD y es que la clínica deberá retirar o reubicar la cámara del gabinete médico para que no capte imagen ni sonido de forma permanente. Si no es posible su reorientación técnica, el dispositivo deberá ser eliminado.
Cabe destacar, que la resolución es firme en vía administrativa, si bien cabe recurso contencioso-administrativo ante la Audiencia Nacional.
