En materia de protección de datos, hay que definir bien cómo se gestionan las zonas vídeo vigiladas, dado que suponen un tratamiento de datos de carácter personal. ¿Por qué? Pues porque las cámaras captan imágenes que identifican o permiten identificar a personas, por lo que su gestión debe ajustarse estrictamente al Reglamento General de Protección de Datos (RGPD) y a la normativa española (LOPDGDD) y sectorial.
Vamos a tratar desde Enfoke de explicar, desde el prisma de la protección de datos, la normativa aplicable, las obligaciones del responsable y las buenas prácticas para implantar sistemas de videovigilancia con seguridad jurídica y técnica.
Qué entendemos por zonas vídeo vigiladas
Básicamente se considera zona vídeo vigilada cualquier espacio, interior o exterior, en el que exista captación de imágenes mediante cámaras o videocámaras con finalidad de observación, seguridad o control. Esto incluye: entradas y accesos, aparcamientos, pasillos comunes, zonas de carga y descarga, o espacios abiertos dentro de comunidades y establecimientos.
Cuando la grabación alcanza a la vía pública, intervienen reglas adicionales y, en general, la instalación sobre vía pública corresponde a las Fuerzas y Cuerpos de Seguridad.
Marco normativo aplicable (resumen práctico)
Dado que puede ser muy amplio y denso, hacemos un resumen práctico de la normativa actual que regula el concepto de zonas vídeo vigiladas que estamos tratando de explicar.
RGPD (UE)
Principios generales (licitud, finalidad, minimización, limitación del plazo, integridad y confidencialidad, responsabilidad proactiva).
LOPDGDD (España, Ley Orgánica 3/2018)
Adapta y complementa el RGPD en ámbitos concretos como el laboral y las garantías procesales.
Normativa sectorial
Ley 4/1997 (uso de videocámaras por Fuerzas y Cuerpos de Seguridad), Ley de Seguridad Privada (cuando intervienen empresas de seguridad), y otras normas específicas (deporte, transporte, sanidad).
Directrices europeas
El Comité Europeo de Protección de Datos (EDPB) ha publicado orientaciones sobre dispositivos de vídeo que ayudan a evaluar riesgos y medidas técnicas/organizativas.
Base legal para la vídeo vigilancia
La vídeo vigilancia con fines de seguridad se legitima normalmente por el interés legítimo del responsable (protección de bienes y personas) o por otras bases legales contempladas en el RGPD, siempre que se realice una adecuada ponderación entre ese interés y los derechos de las personas afectadas.
Hay que decir que en supuestos concretos (por ejemplo, cuando la video vigilancia se conecta con actuaciones de las autoridades), pueden concurrir obligaciones legales o el tratamiento por parte de autoridades competentes que se rigen por normas específicas.
Obligaciones principales del responsable de las zonas vídeo vigiladas
Muy bien y claramente definidas para que no haya duda sobre la responsabilidad y acometidas al respecto de la protección de datos que recae sobre la persona o personas al cargo de estas zonas vídeo vigiladas.
☑️ Principio de minimización y limitación de la finalidad
Las cámaras deben enfocarse únicamente a las áreas estrictamente necesarias para alcanzar la finalidad declarada (seguridad). Evitar captar espacios íntimos (aseos, vestuarios, dormitorios) y reducir la captura de vía pública salvo franja mínima imprescindible.
☑️ Información y señalización
Las zonas vídeo vigiladas deben señalizarse con carteles visibles que informen, como mínimo, del responsable, la finalidad del tratamiento y cómo ejercer los derechos. La AEPD facilita modelos de cartel que conviene adaptar y situar en puntos claramente visibles.
☑️ Conservación de las imágenes
Las imágenes deberán suprimirse cuando dejen de ser necesarias para la finalidad. La AEPD indica como criterio general un plazo máximo aproximado de un mes para la conservación, salvo que exista causa concreta (investigación de un hecho, procedimiento legal u otra obligación normativa) que justifique su mantenimiento.
☑️ Derechos de las personas
Las personas captadas pueden ejercer derechos (acceso, supresión, oposición, etc.). En video vigilancia hay particularidades: el acceso suele requerir aportar elementos que permitan verificar la identidad y la presencia en las grabaciones; la rectificación no resulta aplicable técnicamente al contenido fílmico; la supresión tiene matices por las excepciones.
☑️ Registro de actividades y documentación
Se debe mantener el Registro de Actividades de Tratamiento (RAT) y documentación que justifique la decisión de implantar cámaras: análisis previo de necesidad, informe de impacto cuando proceda, y los criterios de conservación. El registro y las políticas internas son pruebas de cumplimiento proactivo.
☑️ Evaluación de impacto (DPIA)
Cuando el tratamiento entraña un alto riesgo para los derechos y libertades (por ejemplo, grabación sistemática a gran escala, uso de tecnologías de reconocimiento, cámaras con analítica avanzada), es obligatorio realizar una Evaluación de Impacto sobre la Protección de Datos (DPIA). El EDPB aporta criterios para decidir cuándo se requiere.
☑️ Medidas técnicas y organizativas
Control de accesos, cifrado de grabaciones, autenticación de usuarios, registros de accesos, borrado seguro y acuerdos con encargados (empresas de seguridad o proveedores de cloud) son exigencias mínimas. También es crucial planificar respuesta ante brechas (notificación en 72 horas a AEPD si hay riesgo para derechos).
Vídeo vigilancia en el ámbito laboral: Límites y reglas específicas
Ya sabemos que el uso de cámaras para controlar la actividad laboral exige especial cautela. La LOPDGDD reconoce el derecho a la intimidad frente a dispositivos de vídeo vigilancia y fija límites (por ejemplo, prohibición de grabar vestuarios, aseos o lugares de descanso).
Sabed que la implantación debe consultarse, en su caso, en el marco de la negociación colectiva o con los representantes de los trabajadores y respetar la proporcionalidad y transparencia.
Cesión y acceso a las imágenes: A quién y cuándo
Las imágenes de las zonas vídeo vigiladas sólo deben comunicarse, cuando exista una base legítima, a autoridades (para investigación de delitos), a tribunales, o a terceros cuando sea imprescindible para la finalidad y exista fundamento legal. Siempre deberá registrarse la comunicación y fundamentarla jurídicamente.
Riesgos y sanciones
La AEPD ha incrementado la actividad de control y sanción en materia de protección de datos. Infracciones por falta de información, conservación excesiva, ausencia de medidas de seguridad o cesiones indebidas pueden acarrear sanciones económicas y daño reputacional. Por eso, la implantación responsable de zonas vídeo vigiladas no es sólo técnica, es legal y organizativa.
Checklist práctico para implantar zonas vídeo vigiladas
A modo de resumen, apuntad lo siguiente:
- Justificación documentada: Informe de necesidad y alternativa menos intrusiva.
- Base legal: Determinar interés legítimo u otra base aplicable.
- Señalización: Carteles visibles con información mínima (modelo AEPD recomendado).
- Minimización: Campos de visión y calidad necesarias, evitar captar zonas íntimas o públicas innecesarias.
- Conservación: Definir plazos (por defecto < 1 mes salvo excepciones justificadas).
- DPIA: Realizar si hay alto riesgo (analítica avanzada, reconocimiento facial, tratamiento a gran escala).
- Contratos con encargados: Cláusulas, obligaciones y controles.
- Medidas de seguridad: cifrado, control de accesos, registro de accesos y copias.
- Procedimiento de respuesta a derechos y brechas: Plazos, responsables y formatos.
Procedimiento interno para la gestión de solicitudes de acceso a imágenes
Lo primero es establecer las pautas para gestionar correctamente las solicitudes de acceso a imágenes captadas en zonas vídeo vigiladas, garantizando el cumplimiento del RGPD y la LOPDGDD. Una vez definido, se deben explicar y comunicar adecuadamente al equipo y cualquier persona o entidad que lo reclame, los siguientes puntos:
☑️ Ámbito de aplicación
Este procedimiento será de aplicación a todas las solicitudes recibidas por [Nombre de la empresa] relativas a imágenes obtenidas mediante sistemas de vídeo vigilancia bajo su responsabilidad.
☑️ Identificación del solicitante
Toda solicitud deberá:
- Realizarse por escrito (correo electrónico o postal).
- Incluir nombre y apellidos, DNI o documento equivalente.
- Acreditar la identidad del solicitante.
- Indicar fecha aproximada, franja horaria y lugar donde presume haber sido grabado.
En caso de solicitudes incompletas, se requerirá subsanación antes de continuar el trámite.
☑️ Evaluación de la solicitud
El responsable del tratamiento o persona designada deberá:
- Verificar que las imágenes existen y están dentro del plazo de conservación.
- Confirmar que el solicitante aparece en las imágenes.
- Valorar si el acceso puede afectar a derechos de terceros.
☑️ Forma de atender el derecho de acceso
El derecho de acceso se atenderá preferentemente mediante:
- Visualización presencial de las imágenes, o
- Entrega de imágenes anonimizadas, difuminando rostros o elementos identificativos de terceros.
No se facilitarán copias íntegras cuando se vean afectados derechos de otras personas.
☑️ Plazo de respuesta
La solicitud deberá resolverse en un plazo máximo de un mes desde su recepción.
Este plazo podrá ampliarse a dos meses en casos complejos, informando previamente al solicitante.
☑️ Denegación del acceso
Podrá denegarse el acceso cuando:
- Las imágenes ya hayan sido suprimidas conforme al plazo legal.
- El solicitante no aparezca en las grabaciones.
- El acceso afecte de forma desproporcionada a derechos de terceros.
La denegación deberá ser motivada y comunicada por escrito.
☑️ Registro y trazabilidad
Todas las solicitudes deberán registrarse, dejando constancia de:
- Fecha de solicitud.
- Identidad del solicitante.
- Decisión adoptada.
- Fecha y forma de respuesta.
☑️ Medidas de seguridad
- Acceso restringido únicamente a personal autorizado.
- Prohibida la copia o difusión no autorizada de imágenes.
- Eliminación segura de las imágenes una vez finalizado el procedimiento.
Se recomienda su revisión periódica y adaptación a las características específicas de cada instalación.
Conclusiones
Como buenas prácticas en el manejo de la información de estas zonas vídeo vigiladas a las que nos estamos refiriendo, hay que evitar almacenar imágenes en sistemas sin control de accesos o sin respaldo de integridad. También limitar el número de personas con acceso a visionado y grabaciones, e implementar registros de accesos y alertas ante accesos anómalos.
En caso de que usemos servicios en la nube, verificar transferencias internacionales y firmar cláusula tipo con el proveedor.
Ye hemos visto que las zonas vídeo vigiladas son una herramienta eficaz para seguridad, pero su implementación exige cumplimiento estricto del RGPD, la LOPDGDD y la normativa sectorial. La práctica responsable combina documentación previa (necesidad y DPIA), transparencia (señalización e información), limitación de la captación y plazos de conservación razonables, y medidas técnicas/organizativas robustas.
En Enfoke, como consultora especializada en adaptación a la normativa de protección de datos, ayudamos a diseñar políticas, elaborar cartelería e información conforme al modelo AEPD, realizar DPIAs y redactar contratos con encargados/empresas de seguridad para que las zonas vídeo vigiladas no sólo protejan activos, sino que también respeten los derechos de las personas y reduzcan riesgos legales.
📞 662 247 648
