EUROPE · SPAIN DIVISIONSECUREVIEW EUROPE · DIVISIÓN ESPAÑA
RGPD y Cumplimiento de Videovigilancia en España
Guía práctica para empresas españolas que utilizan cámaras de seguridad comercial conforme al RGPD, la LOPDGDD y las orientaciones de la AEPD.
01
Las imágenes de videovigilancia son datos personales
Cuando una cámara capta a una persona identificable, la organización trata datos personales. El cumplimiento abarca mucho más que la ubicación del equipo. La empresa debe identificar al responsable, la finalidad, la base jurídica, las personas y zonas afectadas, quién puede ver o exportar imágenes, cuánto se conservan y cómo se gestionan los derechos. El diseño técnico y la gobernanza deben coordinarse antes de instalar.
02
Marco principal de videovigilancia en España
El tratamiento mediante cámaras de seguridad comercial se encuadra en el Reglamento General de Protección de Datos y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). El artículo 22 regula específicamente el tratamiento para preservar personas, bienes e instalaciones. Pueden aplicarse otras normas al control laboral, seguridad privada, autoridades, recintos regulados y usos especializados. Solicita asesoramiento cualificado para tu caso.
03
Necesidad, finalidad y proporcionalidad
La AEPD indica que la videovigilancia solo debe utilizarse cuando no sea posible acudir a medios menos intrusivos. Define el problema concreto antes de elegir cámaras. “Seguridad general” debe convertirse en una finalidad documentada: proteger una entrada, verificar acceso a una sala restringida o investigar pérdidas en un muelle. Evita captar imágenes simplemente porque el equipo lo permite.
04
Minimización de cobertura y captación de vía pública
El artículo 22 limita la captación de vía pública a lo imprescindible para la finalidad de seguridad, con excepciones específicas para bienes estratégicos o infraestructuras de transporte. Los ángulos deben evitar propiedades vecinas, interiores privados y zonas irrelevantes. Utiliza lentes adecuadas, reposicionamiento y máscaras de privacidad. Revisa la cobertura tras obras, vegetación, estanterías o cambios operativos.
05
Carteles visibles e información por capas
Las personas deben recibir información antes o al captarse sus imágenes. La ley española contempla un dispositivo visible que identifique al menos la existencia del tratamiento, al responsable y la posibilidad de ejercer derechos. El responsable debe mantener disponible el resto de la información. La AEPD describe un sistema por capas: cartel conciso en los accesos e información ampliada con finalidad, base, conservación, destinatarios, derechos y contacto.
06
Registro de actividades y responsabilidad proactiva
Las orientaciones de la AEPD remiten al registro de actividades de tratamiento del RGPD. El registro debe coincidir con el sistema real: ubicaciones, finalidades, categorías de personas e imágenes, destinatarios, conservación, perfiles y seguridad. Mantén plano o listado de cámaras, configuraciones, usuarios autorizados, procedimiento de exportación y evidencia de revisiones. La documentación no debe ser una política genérica desconectada de la instalación.
07
Conservación, preservación de incidentes y supresión
El artículo 22 dispone que las imágenes se supriman, con carácter general, en el plazo máximo de un mes desde su captación. Reconoce una excepción para conservar grabaciones que acrediten actos contra personas, bienes o instalaciones; en ese caso deben ponerse a disposición de la autoridad competente dentro del plazo legal. Configura la conservación deliberadamente, verifica la supresión automática y documenta por separado cada bloqueo por incidente.
08
Control de acceso, exportaciones y proveedores
Solo las personas autorizadas deben acceder a imágenes en directo o grabadas y sus permisos deben responder a sus funciones. Utiliza cuentas individuales, autenticación robusta, acceso remoto seguro, registros cuando estén disponibles y exportación controlada. Si instaladores, monitorizadores, nube o mantenimiento acceden por cuenta del responsable, determina los roles y formaliza el instrumento jurídico necesario.
09
Empleados, audio, analítica y usos de mayor riesgo
El control laboral tiene requisitos adicionales, incluido el artículo 89 de la LOPDGDD. El audio es más intrusivo y no debe activarse de forma rutinaria. Reconocimiento facial, biometría, analítica de comportamiento, vigilancia a gran escala y observación sistemática aumentan el riesgo y pueden exigir análisis adicional o una evaluación de impacto. Consulta a un especialista antes de activar funciones avanzadas.
10
Seguridad, mantenimiento y cumplimiento demostrable
Un diseño conforme puede dejar de serlo si las cámaras se desplazan, antiguos usuarios conservan acceso, cambia la conservación o se expone la conectividad. Revisa orientación, máscaras, cuentas, firmware, salud de grabación, almacenamiento, exportaciones y documentación. System Health™ puede apoyar la fiabilidad técnica, pero el responsable conserva la responsabilidad de gobernanza y de validar decisiones jurídicas.
Lista de cumplimiento para videovigilancia comercial
- Documentar finalidad de seguridad y base jurídica
- Mapear cada cámara y campo de visión
- Minimizar vía pública y propiedades vecinas
- Instalar carteles y publicar información ampliada
- Mantener el registro de actividades
- Configurar y verificar conservación y supresión
- Limitar permisos de directo, reproducción y exportación
- Documentar acceso y contratos de proveedores
- Crear procedimiento de incidentes y entrega
- Revisar ámbito laboral, audio, analítica y EIPD
- Probar seguridad técnica y grabación periódicamente
Fuentes oficiales
Utiliza los textos oficiales vigentes y materiales de la AEPD para revisar las obligaciones de tu organización.