La Agencia Española de Protección de Datos ha dictado Resolución de archivo de actuaciones en el expediente EXP202404179, relativo a la cesión de imágenes de videovigilancia de una gasolinera a una empresa de transporte para acreditar una presunta infracción laboral de un empleado.
Hechos
Un trabajador de ONTIME TRANSPORTE Y LOGÍSTICA, S.L. fue despedido disciplinariamente tras detectarse que presuntamente había utilizado la tarjeta de combustible de la empresa para repostar un vehículo ajeno en una gasolinera de bajo coste (EASYREPOST, S.L.) no autorizada por la empresa. La gasolinera comunicó a ONTIME la irregularidad y posteriormente le facilitó imágenes de su sistema de videovigilancia que identificaban al trabajador.
El reclamante denunció ante la AEPD que la cesión de sus imágenes por EASYREPOST a ONTIME vulneraba la normativa de protección de datos al no contar con su consentimiento, y que el cartel informativo de videovigilancia de la gasolinera no contenía información completa sobre el ejercicio de derechos.
Fundamentos jurídicos
La AEPD analiza tres cuestiones: la licitud del sistema de videovigilancia, el cumplimiento del deber de información y la base legitimadora de la cesión de imágenes.
Respecto a la videovigilancia, la Agencia recuerda que el artículo 22 de la LOPDGDD habilita a personas físicas o jurídicas para el tratamiento de imágenes con finalidad de seguridad de personas, bienes e instalaciones, siempre que las cámaras graben principalmente las propias instalaciones y solo la parte mínima imprescindible de la vía pública. EASYREPOST acreditó disponer de 36 cámaras que captan mayormente su recinto, con conservación de imágenes durante el plazo legal máximo de un mes.
En cuanto al deber de información “por capas” previsto en el artículo 22.4 LOPDGDD, la AEPD constata que, si bien uno de los carteles (a la entrada de la tienda) no contenía toda la información requerida, existían más de veinte carteles adicionales repartidos por el recinto con información completa sobre el responsable y el ejercicio de derechos. La Agencia considera que basta con disponer de un dispositivo informativo en lugar suficientemente visible en el acceso a las zonas videovigiladas, requisito que EASYREPOST cumplía sobradamente.
La cuestión central es la base legitimadora de la cesión. El reclamante sostenía que era necesario su consentimiento. Sin embargo, la AEPD considera aplicable el artículo 6.1.f) del RGPD (interés legítimo), que ampara el tratamiento no solo del responsable sino también de un tercero. El Considerando 47 del RGPD señala expresamente que el tratamiento de datos estrictamente necesario para la prevención del fraude constituye un interés legítimo.
La Agencia pondera que existía una relación laboral entre el reclamante y ONTIME, que el tratamiento se circunscribió a lo estrictamente necesario para investigar un presunto fraude (incluso un posible ilícito penal), y que las imágenes sincronizadas con los datos del pago en el terminal tenían un valor probatorio concluyente difícilmente obtenible por otros medios. Por tanto, el tratamiento resultaba adecuado, pertinente, limitado al fin previsto y proporcionado para el ejercicio legítimo de los derechos de defensa de ONTIME, sin afectar a terceros no involucrados.
Resolución
La AEPD concluye que no se han encontrado evidencias de infracción y acuerda el archivo de las actuaciones, al considerar que tanto la cesión realizada por EASYREPOST como el posterior tratamiento por ONTIME para fundamentar el despido disciplinario están amparados en el interés legítimo, siendo la obtención de pruebas válidas en derecho un paso previo imprescindible para el ejercicio del derecho a la tutela judicial efectiva.
Referencia: Resolución AEPD, Expediente EXP202404179 (AI/00320/2024).