La videovigilancia se ha convertido en una herramienta habitual en empresas, tiendas, despachos profesionales, comunidades de propietarios y centros escolares. La instalación de cámaras de seguridad permite reforzar la protección de bienes e instalaciones, prevenir incidentes y, en determinados casos, acreditar hechos ante posibles responsabilidades legales, y por eso es crucial conocer las Obligaciones en la instalación de Videovigilancia.
En tiendas y establecimientos abiertos al público debe evitarse grabar la vía pública más allá de lo estrictamente necesario, no pueden captarse imágenes de propiedades colindantes sin justificación, la grabación continua del exterior solo está permitida cuando sea imprescindible para la seguridad del establecimiento y las cámaras deben orientarse de forma proporcional al riesgo existente.
Sin embargo, la captación de imágenes de personas físicas constituye un tratamiento de datos personales y, por tanto, está sujeta al Reglamento (UE) 2016/679, General de Protección de Datos (RGPD) y a la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), así como a los criterios interpretativos de la Agencia Española de Protección de Datos (AEPD).
En este artículo analizamos de forma técnica y práctica cuáles son las obligaciones en la instalación de Videovigilancia legales que deben cumplir las empresas y entidades que instalen cámaras de seguridad, evitando errores frecuentes.
¿Es la videovigilancia un tratamiento de datos personales?
Sí.
El artículo 4 del RGPD considera dato personal cualquier información sobre una persona física identificada o identificable. Las imágenes de personas captadas por cámaras de seguridad permiten identificar directa o indirectamente a individuos, por lo que su grabación, conservación o visualización constituye un tratamiento de datos.
Por tanto, cualquier empresa, comercio, centro educativo o entidad que instale cámaras:
- Es responsable del tratamiento.
- Debe cumplir con los principios del RGPD.
- Debe aplicar las obligaciones específicas previstas en la LOPDGDD.
Uno de los primeros requisitos del RGPD es que todo tratamiento tenga una base legitimadora válida (art. 6 RGPD). En el ámbito de la videovigilancia empresarial, la base jurídica habitual es: el Interés legítimo del responsable del tratamiento, que suele fundamentarse en:
- Protección de personas.
- Seguridad de bienes e instalaciones.
- Prevención de robos o daños.
- Control de accesos.
No obstante, este interés debe superar un juicio de ponderación, es decir:
- Debe existir una finalidad legítima real.
- El tratamiento debe ser necesario.
- No deben prevalecer los derechos y libertades de las personas grabadas.
En centros escolares o espacios con menores, la ponderación debe ser especialmente rigurosa.
Videovigilancia en el ámbito laboral
La instalación de cámaras en empresas para fines de seguridad también puede afectar a trabajadores, debe informar de forma expresa, clara y previa a los empleados sobre:
- La existencia del sistema.
- Su finalidad.
- La posibilidad de utilizar las imágenes para control laboral.
Existen además una serie de limites, que implican que no pueden instalarse cámaras en:
- Vestuarios.
- Aseos.
- Comedores.
- Zonas de descanso.
El uso disciplinario de imágenes es válido si se ha informado previamente y el sistema cumple los principios de proporcionalidad.
Medidas de seguridad técnicas y organizativas
El RGPD exige aplicar medidas adecuadas al riesgo, entre ellas:
- Contraseñas robustas.
- Sistemas de cifrado.
- Almacenamiento seguro.
- Copias de seguridad.
- Control de accesos.
- Actualización de software.
En sistemas conectados a internet, deben extremarse las medidas frente a accesos remotos no autorizados.
Contrato con empresa de seguridad o proveedor tecnológico
Debe formalizarse un contrato de encargo de tratamiento conforme al artículo 28 del RGPD si la empresa contrata a un proveedor para:
- Instalación.
- Mantenimiento.
- Almacenamiento en la nube.
- Gestión de imágenes,
Este contrato debe regular:
- Instrucciones documentadas.
- Confidencialidad.
- Medidas de seguridad.
- Subcontrataciones.
- Destino de los datos al finalizar el servicio.
Cesión de imágenes a Fuerzas y Cuerpos de Seguridad y autoridades competentes
La comunicación de imágenes obtenidas mediante sistemas de videovigilancia a terceros constituye una cesión o comunicación de datos en los términos del artículo 4 del RGPD. Como regla general, cualquier cesión debe contar con una base jurídica válida conforme al artículo 6 del RGPD.
En el ámbito de la videovigilancia, la cesión más habitual es la realizada a las Fuerzas y Cuerpos de Seguridad del Estado, juzgados o tribunales.
La comunicación de imágenes a autoridades públicas está amparada cuando concurre alguna de las siguientes circunstancias:
Existencia de requerimiento formal
Cuando la Policía, Guardia Civil, autoridad autonómica competente o un órgano judicial solicitan las imágenes en el marco de una investigación, la cesión se encuentra legitimada por:
-
- El cumplimiento de una obligación legal (art. 6.1.c RGPD).
- El ejercicio de poderes públicos conferidos a la autoridad solicitante (art. 6.1.e RGPD).
En estos casos:
-
- No es necesario recabar el consentimiento de la persona afectada.
- La empresa debe colaborar y facilitar las imágenes requeridas.
Es recomendable que el requerimiento sea por escrito o quede debidamente documentado (oficio policial, diligencia, solicitud formal o número de atestado).
Denuncia interpuesta por la propia empresa
Si la empresa es víctima de un delito (por ejemplo, robo, daños o agresiones), puede:
-
- Interponer denuncia.
- Aportar voluntariamente las imágenes como prueba.
La base jurídica en este supuesto es el interés legítimo en la defensa de derechos e intereses propios, así como el cumplimiento de obligaciones legales derivadas del proceso penal.
Situaciones de urgencia
En determinados supuestos de urgencia (por ejemplo, un delito flagrante), las autoridades pueden solicitar el acceso inmediato a las grabaciones.
Aunque el requerimiento pueda ser verbal en un primer momento, es aconsejable:
-
- Solicitar identificación del agente.
- Dejar constancia documental posterior.
- Registrar internamente la entrega.
¿Cómo debe realizarse la cesión?
-
- Extraer únicamente el fragmento temporal estrictamente necesario.
- Evitar facilitar grabaciones más amplias de lo solicitado.
- Entregar copia en soporte digital seguro (USB cifrado, descarga protegida, etc.).
- Conservar justificante de entrega.
- Anotar la cesión en el registro interno de incidencias.
Aunque existen situaciones en las que la empresa debe abstenerse de entregar imágenes directamente:
- Solicitudes de terceros implicados en un conflicto
- Solicitudes genéricas o desproporcionadas
Infracciones más frecuentes:
- No informar adecuadamente.
- Conservar imágenes más de un mes.
- Grabar espacios públicos sin justificación.
- No formalizar contrato con encargado.
La instalación de cámaras de seguridad en empresas, comercios o centros educativos es legal, pero está sujeta a un marco normativo exigente. El RGPD y la LOPDGDD no prohíben la videovigilancia, pero obligan a que se implante de forma proporcional, transparente y segura.
No resulta admisible instalar cámaras en aulas con carácter general, salvo circunstancias excepcionales debidamente justificadas.
El cumplimiento no se limita a colocar un cartel visible. Implica analizar la legitimación, documentar el tratamiento, aplicar medidas de seguridad, respetar los plazos de conservación y garantizar los derechos de las personas afectadas.
Una correcta implantación del sistema no solo evita sanciones, sino que refuerza la seguridad jurídica de la empresa y transmite confianza a clientes, trabajadores y usuarios.
En caso de duda, resulta recomendable realizar un análisis previo específico y documentado antes de proceder a la instalación del sistema de videovigilancia.
Conoce más sobre las últimas novedades que puedes afectar a tu actividad o empresa y si necesitas más información ponte en contacto con nosotros y te ayudaremos.