La realización de controles de acceso a los edificios puede comportar la captación de imágenes. Generalmente se articulan mediante controles en los cuales el afectado se identifica, se obtiene su imagen y se emite un carné, pase o tarjeta de identificación. En estos casos, los datos de carácter personal son recabados por servicios de seguridad tanto en edificios públicos como privados, así como en establecimientos, espectáculos, certámenes y convenciones.

En tales casos será de aplicación lo dispuesto en la Instrucción 1/1996, de 1 de marzo, de la Agencia de Protección de Datos, sobre ficheros automatizados establecidos con la finalidad de controlar el acceso a los edificios. Por lo tanto:

    • El responsable del fichero asumirá el cumplimiento de todas las obligaciones establecidas en la LOPD:

       1. Tendrá la consideración de responsable del fichero la persona física o jurídica, de naturaleza pública o privada, u órgano administrativo por cuya cuenta se efectúe la realización del servicio de seguridad.

       2. La Instrucción 1/1996 permite también que la empresa de seguridad tenga la consideración de responsable del fichero.

    • La recogida de datos efectuada se limitará a la finalidad de realizar controles de acceso.

    • Deberá informarse de conformidad con lo establecido en el artículo 5 LOPD.

    • Los datos personales no podrán ser utilizados para otros fines ni cedidos fuera de los casos expresamente establecidos en la ley, salvo consentimiento del afectado.

    • Los datos serán cancelados cuando haya transcurrido el plazo de un mes, contado a partir del momento en que fueron recabados.

    • El responsable del fichero garantizará la adopción de las medidas de seguridad que correspondan.

Por otro lado, la Instrucción 2/1996, regula los ficheros establecidos con la finalidad de controlar el acceso a los casinos y salas de bingo. En este caso:

    • Tendrá la consideración de responsable del fichero la sociedad explotadora del casino de juego o la empresa titular de la sala de bingo.

    • Deberá cumplirse con el deber de información en la recogida de datos.

    • Los datos personales no podrán ser utilizados para otros fines ni cedidos fuera de los casos expresamente establecidos en la ley, salvo consentimiento del afectado.

    • Los datos de carácter personal deberán ser destruidos cuando haya transcurrido el plazo de seis meses, contado a partir de la fecha del último acceso.

    • El responsable del fichero garantizará la adopción de las medidas de seguridad que correspondan.