Jorge Salgueiro Rodríguez, es presidente de AECRA (Asociación Europea de Profesionales para el Conocimiento y la Regulación de las Actividades de la Seguridad Ciudadana).
La evolución tecnológica y particularmente la incidencia de la transformación digital en los modelos de gestión privada y pública han causado una carencia a nivel regulatorio que hay que subsanar. Por medio de tres entregas, dada la importancia de la temática a tratarse, compartiré con los lectores de SeguCITY Digital estas reflexiones personales sobre cómo afecta la protección de datos a las empresas de seguridad en el apartado de plazos de conservación de datos, en particular para las Empresas Centrales Receptoras de Alarmas (CRA), siendo consciente de la carencia a nivel regulatorio por la evolución tecnológica y particularmente ante la incidencia de la transformación digital en los modelos de gestión privada y pública. Hoy comenzamos mostrando cuál es el régimen normativo vigente.
El régimen normativo de Seguridad Privada
La Seguridad Privada es una actividad complementaria y subordinada a la Seguridad Pública en España como consecuencia del Modelo que desde el Estado Español como competencia exclusiva del mismo se define en la Ley 5/2014 de 4 de abril hoy pendiente de desarrollo reglamentario.
La legitimación del control de las actividades de seguridad privada desarrolladas por Empresas de Seguridad autorizadas vienen recogidas en el Preámbulo de la Ley 5/2014 de 4 de abril de Seguridad Privada cuando se dispone literalmente:
“La proyección de la Administración del Estado sobre la prestación de servicios de seguridad por entidades privadas y sobre su personal se basa en el hecho de que los servicios que prestan forman parte del núcleo esencial de la competencia exclusiva en materia de seguridad pública atribuida al Estado por el artículo 149.1.29.ª de la Constitución, y en la misión que, según el artículo 104 del propio texto fundamental, incumbe a las Fuerzas y Cuerpos de Seguridad, bajo la dependencia del Gobierno, de proteger el libre ejercicio de los derechos y libertades y garantizar la seguridad ciudadana.
A partir de ahí, se establece un conjunto de controles e intervenciones administrativas que condicionan el ejercicio de las actividades de seguridad por los particulares. Ello significa que las Fuerzas y Cuerpos de Seguridad han de estar permanentemente presentes en el desarrollo de las actividades privadas de seguridad, conociendo la información trascendente para la seguridad pública que en las mismas se genera y actuando con protagonismo indiscutible, siempre que tales actividades detecten el acaecimiento de hechos delictivos o que puedan afectar a la seguridad ciudadana…
Y ésta es una de las razones que justifican la intensa intervención en la organización y desarrollo de las actividades de las entidades privadas de seguridad y de su personal, por parte de la Fuerzas y Cuerpos de Seguridad, que tienen la misión constitucional de proteger los derechos fundamentales de todos los ciudadanos y garantizar su seguridad.”
Las notas de complementariedad y subordinación atribuidas a las Empresas y actividades de seguridad privada frente a las Fuerzas y Cuerpos de Seguridad del Estado dentro de la seguridad pública se ven igualmente reconocidas en el Preámbulo de la Ley 5/2014 de Seguridad Privada cuando se establece en dicho texto legal:
“La ley pasa de poner el acento en el principio de la subordinación a desarrollar más eficazmente el principio de complementariedad a través de otros que lo desarrollan, como los de cooperación o de corresponsabilidad, mediante una técnica legislativa más flexible que permite una adaptación permanente a los cambios que experimente la sociedad sin que sea precisa una reforma de rango legal para ello.
En la relación especial que mantiene la seguridad privada con las Fuerzas y Cuerpos de Seguridad, auténticos garantes del sistema de libertades y derechos que constitucionalmente protegen, se hace necesario avanzar en fórmulas jurídicas que reconozcan el papel auxiliar y especialmente colaborador desempeñado por la seguridad privada, de forma que, además de integrar funcionalmente sus capacidades en el sistema público de seguridad, les haga partícipes de la información que resulte necesaria para el mejor cumplimiento de sus deberes».
El Preámbulo de la Ley de Seguridad Privada sustenta la interpretación restrictiva que en las próximas líneas haremos sobre los diferentes artículos de la normativa de seguridad privada aplicables al caso, y ello tras contratación de un servicio de seguridad privada por un cliente, sea publico o privado, así como las limitaciones impuestas a dichas Empresas por la Seguridad Pública.
La Ley de Seguridad Privada española con la vocación de unificar todas las seguridades privadas en nuestro modelo de la seguridad pública, dentro de un modelo territorial Español, hace una apuesta por integrar adicionalmente, la prestación de los servicios de Seguridad de la Información y de las comunicaciones, a los controles y obligaciones impuestas para las Empresas de Seguridad siendo ello reconocido tanto en el Preámbulo de dicho texto legal como en el artículo 3 y articulo 6 de la misma Ley de Seguridad Privada en su apartado 6.
Así mismo, las Empresas de Seguridad de acuerdo con el articulo 4 de la Ley de Seguridad Privada en su letra c), tienen como fin “complementar el monopolio de la seguridad que corresponde al Estado, integrando funcionalmente sus medios y capacidades como un recurso externo de la seguridad pública”.
Las medidas de control ejercidas por la Seguridad Pública frente a la Seguridad Privada, Empresas y personal de seguridad, de conformidad con el Modelo de Seguridad Privada vigente en España, vienen concretadas en el Titulo V de la Ley de Seguridad Privada, y enunciadas de forma general en el artículo 8 de la Ley de Seguridad Privada, cuando establece el mismo:
“1. Los servicios y funciones de seguridad privada se prestarán con respeto a la Constitución, a lo dispuesto en esta ley, especialmente en lo referente a los principios de actuación establecidos en el artículo 30, y al resto del ordenamiento jurídico.
- Los prestadores de servicios de seguridad privada colaborarán, en todo momento y lugar, con las Fuerzas y Cuerpos de Seguridad, con sujeción a lo que éstas puedan disponer en relación con la ejecución material de sus actividades.
- De conformidad con lo dispuesto en la legislación de fuerzas y cuerpos de seguridad, las empresas de seguridad, los despachos de detectives y el personal de seguridad privada tendrán especial obligación de auxiliar y colaborar, en todo momento, con aquéllas en el ejercicio de sus funciones, de prestarles su colaboración y de seguir sus instrucciones, en relación con los servicios que presten que afecten a la seguridad pública o al ámbito de sus competencias”.
Este mismo artículo 8 de la Ley de Seguridad Privada citado, contiene en su apartado 4 letra c) una norma prohibitiva de alcance y vigencia, aplicable de forma directa a las Empresas de Seguridad Privada, en relación con el tratamiento de los datos obtenidos en la prestación de los servicios de seguridad privada y su cesión a terceros cuando dispone:
“c) Tendrán prohibido comunicar a terceros, salvo a las autoridades judiciales y policiales para el ejercicio de sus respectivas funciones, cualquier información que conozcan en el desarrollo de sus servicios y funciones sobre sus clientes o personas relacionadas con éstos, así como sobre los bienes y efectos de cuya seguridad o investigación estuvieran encargados”.
La comunicación por las Empresas a las autoridades policiales de dichos datos, sean o no personales obtenidos en el desarrollo de las actividades de seguridad privada, viene concretada en el artículo 15 de la Ley de Seguridad Privada cuando establece:
“1. Se autorizan las cesiones de datos que se consideren necesarias para contribuir a la salvaguarda de la seguridad ciudadana, así como el acceso por parte de las Fuerzas y Cuerpos de Seguridad a los sistemas instalados por las empresas de seguridad privada que permitan la comprobación de las informaciones en tiempo real cuando ello sea necesario para la prevención de un peligro real para la seguridad pública o para la represión de infracciones penales”.
El artículo 2 de la Ley de Seguridad Privada mencionada conceptúa la Seguridad Privada como “el conjunto de actividades, servicios, funciones y medidas de seguridad adoptadas, de forma voluntaria u obligatoria, por personas físicas o jurídicas, públicas o privadas, realizadas o prestados por empresas de seguridad, despachos de detectives privados y personal de seguridad privada para hacer frente a actos deliberados o riesgos accidentales, o para realizar averiguaciones sobre personas y bienes, con la finalidad de garantizar la seguridad de las personas, proteger su patrimonio y velar por el normal desarrollo de sus actividades”.
Por su importancia en lo que es objeto de presente Documento, me interesa traer a colación la competencia material atribuida por el articulo 8 apartado 5 de la Ley de Seguridad Privada al Ministerio de Interior como Seguridad Pública, de prohibición de utilización por las Empresas de Seguridad privada de determinados medios materiales o técnicos cuando puedan causar daños o perjuicios o poner en peligro la seguridad ciudadana.
Este artículo 5 debemos ponerlo en relación con el artículo 10 de la misma Ley de Seguridad Privada, como medida de prohibición para las Empresas de Seguridad, siguiendo el espíritu del Modelo de Seguridad Privada subordinada y controlada por la Seguridad Pública, de la prestación de servicios de seguridad privada incumpliendo los requisitos o condiciones legales de prestación de los mismos o el empleo o utilización, en servicios de seguridad privada, de medios o medidas de seguridad no homologadas cuando sea preceptivo, o de medidas o medios personales, materiales o técnicos de forma tal que atenten contra el derecho al honor, a la intimidad personal o familiar o a la propia imagen o al secreto de las comunicaciones, o cuando incumplan las condiciones o requisitos establecidos en esta ley y en su normativa de desarrollo.
Así de la lectura de los artículos anteriores debemos concluir que queda sometida a la decisión del Ministerio de Interior, por ser la seguridad privada una materia de su exclusiva competencia con ámbito territorial limitado al Estado Español, determinar y concretar en todo momento, sea a través de una norma de desarrollo o bien un acto administrativo, homologar o autorizar todas las normas, medidas, recursos, servicios y procedimientos de tratamiento de datos desarrollados por las Empresas de Seguridad cuando tengan relación directa con los servicios de seguridad privada que hayan sido contratados por sus clientes, y/o hayan implicado una intervención policial, incluidos por tanto los servicios de cloud computing, de seguridad de la información y de las comunicaciones.
En este mismo sentido, el artículo 39 de la Ley de Seguridad privada deja a la decisión discrecional del Ministerio de Interior homologar los medios utilizados por las Empresas de Seguridad en la prestación de los servicios de seguridad privada contratados entre los que se contarían entre otros los servicios de cloud computing o de comunicaciones.
Dicho criterio igualmente se ve refrendado, en relación a los servicios de gestión de alarmas por una Central de Alarmas, por el artículo 47 de la Ley de Seguridad Privada, cuando el servicio de la Empresa de Seguridad se refiere a los datos obtenidos en relación al análisis y monitorización de eventos de seguridad de la información y las comunicaciones cuyo tratamiento se someterá a lo determinado en una norma reglamentaria española.
El artículo 3 del RD 2364/94 por el que se aprueba el Reglamento de Seguridad Privada Español establece limitaciones de ámbito material y territorial para las Empresas de seguridad privada y el personal integrado en las mismas, de acuerdo con la autorización administrativa concedida y de conformidad con los requisitos generales previstos para las Empresas de Seguridad del artículo 19 de la Ley 5/2014 de 4 de abril de Seguridad Privada antes reseñado.
Dicha limitación territorial (España) como material (personal nacional español que disponga de la correspondiente acreditación o habilitación profesional expedida en España) en el desarrollo de las actividades de seguridad privada como las Centrales Receptoras de Alarmas, a los operadores de seguridad, es confirmada normativamente en relación a acceso a los datos del artículo 16 de la Orden del Ministerio de Interior 314/2011 de 1 de febrero de Empresas de Seguridad Privada tales como datos personales de clientes, modificaciones contractuales, medidas de seguridad instaladas, y cumplimiento de obligaciones administrativas que se imponen a las Empresas de Seguridad y su personal y en lo relativo a las medidas de conservación y protección de los sistemas de información por el artículo 20 del RD 364/94 por el que se aprueba el Reglamento de Seguridad Privada.
MUY IMPORTANTE: Plazo de Conservación general: Las Empresas de Seguridad, tal y como las Centrales Receptoras de Alarmas como responsables del tratamiento de los datos que recogen en el desarrollo de su actividad de seguridad privada, deberán conservar físicamente dichos datos así como los contenidos en los Libros Registro como después veremos, en las sedes de las Empresas de Seguridad a disposición de las Fuerzas y Cuerpos de Seguridad durante un plazo de cinco años desde la finalización del servicio objeto del contrato y limitar el acceso a dicha información al personal integrado y declarado en las Empresas de Seguridad ante las autoridades policiales de conformidad con el artículo 20 del RD 2364/1994 por el que se aprueba el Reglamento de Seguridad Privada.
En el mismo sentido, el artículo 21 de la Ley 5/2014 de Seguridad privada establece como obligación que les corresponde cumplir a las Empresas de Seguridad como las Centrales Receptoras de Alarmas con carácter anual, la presentación ante el Ministerio de Interior de un informe sobre sus actividades y un resumen de sus cuentas anuales con lo que limita el acceso a dicha información a personal que no forme parte de la plantilla integrada en la Empresa de Seguridad en España.
En concreto, el artículo 138 del RD 2364/1994 por el que se aprueba el Reglamento de Seguridad Privada establece respecto de esta memoria anual, la obligación para las Empresas de Seguridad como las Centrales Receptoras de Alarmas de comunicar las altas y bajas del personal de seguridad con indicación de sus datos.
Esta obligación de cesión o entrega a las Empresas de Seguridad se extiende también a los Libros Registro conforme a lo previsto por el artículo 19 del RD 2364/1994 por el que se aprueba el Reglamento de Seguridad Privada, que se ve concretado a los efectos de su conservación por el mismo plazo de 5 años de acuerdo con lo previsto el artículo 14 de la Orden del Ministerio de Interior 314/2011 de 1 de febrero sobre Empresas de Seguridad Privada.
