Las sanciones de la AEPD por videovigilancia no responden a una tarifa por cámara. La autoridad examina qué se capta, con qué finalidad y base jurídica, cómo se informa y qué garantías existen. Una misma instalación puede originar varias infracciones, mientras que otro expediente puede terminar con un apercibimiento y sin multa. Comparar solo las cantidades oculta las decisiones que explican el resultado.
Esta guía analiza tres resoluciones oficiales: una multa de 4.000 euros a la responsable de un establecimiento hostelero, un apercibimiento por captación excesiva y el procedimiento de reconocimiento facial de Mercadona, con 2.520.000 euros abonados tras una reducción. Son resultados documentados de esos expedientes, no precios orientativos ni una afirmación sobre su firmeza judicial. Las fuentes y el marco legal se revisaron el 28 de septiembre de 2026.
Cómo leer una resolución antes de comparar importes
Comprueba primero si tienes delante un acuerdo de inicio, una propuesta o una resolución que termina el procedimiento. Los documentos publicados pueden reproducir íntegramente fases anteriores y contener cifras distintas. La parte dispositiva permite saber qué se ordenó finalmente; los antecedentes explican si hubo reconocimiento de responsabilidad, pago voluntario o cambios en la instalación durante la tramitación.
A continuación identifica al responsable y el tratamiento. Una comunidad de propietarios, un comercio y una persona que vigila su vivienda no parten necesariamente de las mismas circunstancias. La captación de espacios ajenos puede sacar una actividad del ámbito estrictamente doméstico. También importa si se trata de simple imagen, audio o identificación biométrica: no son técnicas equivalentes por utilizar una cámara.
El artículo 83 del RGPD exige considerar las circunstancias del caso, entre ellas naturaleza, gravedad, duración, intencionalidad o negligencia, medidas adoptadas, cooperación y antecedentes pertinentes. La guía de sanciones del RGPD explica los tramos legales. Esos máximos no indican cuánto costará una instalación concreta ni permiten calcular una multa multiplicando el número de dispositivos.
Un establecimiento hostelero: 4.000 euros y correcciones obligatorias
En PS/00050/2024, la AEPD examinó el sistema de videovigilancia de un bar-restaurante y su información a trabajadores y clientes. La resolución impone una multa total de 4.000 euros: 2.000 por vulnerar la minimización del artículo 5.1.c y 2.000 por el incumplimiento informativo del artículo 13. Debe leerse como una suma por dos infracciones, no como el coste de un solo cartel ausente.
La motivación cuestiona la necesidad de dispositivos que excedían la finalidad de protección del establecimiento y afectaban a trabajadores, clientes o terceros. El responsable tenía que justificar la instalación y su alcance. Haber comprado un sistema de seguridad o afirmar genéricamente que protege el negocio no explicaba por qué cada ubicación era adecuada para la finalidad perseguida.
La resolución también ordena acreditar medidas en un mes desde que sea firme y ejecutiva: información específica a trabajadores, documentación informativa disponible para clientes y retirada de cámaras invasivas de espacios innecesarios, con prueba fotográfica del antes y después. El documento reconoce la reinstalación de carteles y por ello no exige volver a acreditarla. Sin embargo, esa corrección no borra automáticamente las infracciones ya examinadas.
La enseñanza operativa es concreta: separar la necesidad de captar una zona del cumplimiento del deber de informar. Un cartel correcto no vuelve proporcionada una cámara excesiva. Del mismo modo, retirar un dispositivo no demuestra que los trabajadores recibieran antes la información exigible. La respuesta a un requerimiento debe aportar evidencia correspondiente a cada problema y señalar cuándo se corrigió.
Captación de vía pública y propiedades ajenas: un apercibimiento
La resolución PA/00027/2023 analiza cámaras instaladas en una propiedad que captaban vía pública y espacios de terceros. Incluye actuaciones de 2025, por lo que el año del identificador no debe confundirse con el año de todas las actuaciones. La autoridad contrastó el acta de inspección y las imágenes aportadas por la parte reclamada para valorar la orientación real del sistema.
Algunas cámaras permitían ver zonas exteriores o propiedades vecinas. Alegar que se había colocado un cartel no resolvía la captación excesiva: informar de un tratamiento y justificar su necesidad son obligaciones diferentes. La resolución excluyó del análisis de captación las cámaras respecto de las cuales se declaró que una no funcionaba y otra era ficticia, sin convertir esa declaración en prueba de que todo el sistema resultara lícito.
El resultado fue un apercibimiento por infracción del artículo 5.1.c, sin multa. No se impusieron nuevas medidas porque se había acreditado una revisión y reorientación mediante la documentación aportada, incluida una factura de septiembre de 2024 presentada en febrero de 2025. Esto muestra la relevancia de corregir y acreditar, pero no crea un derecho a recibir siempre un apercibimiento si se modifica la instalación durante el expediente.
Esta vía se apoya en el artículo 58.2.b del RGPD y el procedimiento del artículo 64.3 de la LOPDGDD. No debe confundirse con el régimen del artículo 77 para determinados sujetos públicos: su redacción estatal vigente prevé declaración de infracción y medidas cuando procedan, excluyendo la multa del artículo 58.2.i. Son fundamentos distintos para resultados sin pago económico.
Mercadona: la biometría exige algo más que proporcionalidad
El expediente PS/00120/2021 trató el reconocimiento facial implantado por Mercadona para identificar personas afectadas por determinadas medidas judiciales. La resolución examinó, entre otras cuestiones, licitud, categorías especiales de datos, información, minimización, protección desde el diseño y evaluación de impacto. Reducir el caso a una cámara mal orientada impediría entender su alcance.
La propuesta reproducida en el documento sumaba 3.150.000 euros: dos millones por los artículos 6 y 9, 100.000 por información, 500.000 por minimización, 500.000 por protección desde el diseño y 50.000 por evaluación de impacto. La resolución deja constancia del pago de 2.520.000 euros el 19 de julio de 2021, aplicando una reducción del 20 % por pago voluntario. No fue una reducción del 40 % sobre esa propuesta.
La parte dispositiva declara terminado el procedimiento conforme al artículo 85 de la Ley 39/2015 y prohíbe el tratamiento de reconocimiento facial examinado. El importe reducido no elimina esa consecuencia sobre el sistema. El documento explica además la renuncia a acciones o recursos en vía administrativa ligada al pago y recoge la vía contencioso-administrativa; no debe presentarse como una renuncia universal a toda revisión judicial.
Para nuevos proyectos, la cuestión principal es que identificar de forma unívoca mediante datos biométricos requiere examinar la prohibición del artículo 9.1 y una excepción válida del artículo 9.2, además de la base del artículo 6 y las restantes garantías. Una evaluación de impacto no crea por sí misma la excepción que falta. Tampoco basta con concluir que la tecnología es eficaz o que existe un interés empresarial en impedir un acceso.
El encuadre: comprobar la imagen real y las alternativas
El artículo 22.2 de la LOPDGDD permite captar la vía pública únicamente en la medida imprescindible para preservar la seguridad de personas, bienes e instalaciones. Prevé una excepción delimitada para bienes o instalaciones estratégicos o infraestructuras vinculadas al transporte, sin captar el interior de un domicilio privado. No es una autorización general para vigilar una calle desde un comercio.
Al revisar una cámara, observa la imagen que produce en las condiciones reales de funcionamiento: orientación, zoom, giro, visión nocturna y máscaras. Una fotografía exterior del soporte puede no mostrar todo lo que se capta. Si una función remota permite ampliar el campo, comprueba sus permisos y configuración. Documenta por qué no basta una posición menos intrusiva o la exclusión técnica de ciertas zonas.
En comunidades, distingue quién decidió instalar el sistema y quién puede consultar las grabaciones. El desacuerdo vecinal no justifica grabar la puerta, ventana o actividad de otra vivienda. Tampoco un acuerdo interno permite ignorar la normativa de datos. El artículo sobre sanciones a comunidades de propietarios desarrolla ese contexto; aquí la enseñanza de los expedientes es conservar prueba de la captación efectiva y su necesidad.
Información visible y vigilancia del trabajo
La ley exige un dispositivo informativo suficientemente visible con, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercer derechos. Debe mantenerse a disposición la información completa del RGPD. No establece una obligación genérica de comprar un cartel «homologado». Lo decisivo es que la información exigida sea correcta, accesible y corresponda al responsable real.
Si una empresa de seguridad figura en el cartel, comprueba si actúa realmente como responsable o como prestadora por cuenta de quien decide la vigilancia. Una identificación incorrecta puede dificultar el ejercicio de derechos. También conviene comprobar que la dirección de contacto funcione: disponer de una cláusula impresa no sirve si las solicitudes nunca llegan a quien debe responderlas.
Cuando se utiliza videovigilancia para control laboral, el artículo 89 exige informar previamente de forma expresa, clara y concisa a trabajadores y, en su caso, representantes. Contiene una regla específica para la captación de un acto ilícito flagrante con el dispositivo informativo mínimo del artículo 22.4. No debe convertirse esa excepción en permiso general para instalar vigilancia oculta ante cualquier sospecha.
Las cámaras no pueden instalarse en lugares de descanso o esparcimiento de trabajadores, como vestuarios, aseos o comedores. Eso no equivale a prohibirlas en toda zona donde trabaje personal. La grabación de sonido tiene condiciones adicionales ligadas a riesgos relevantes para la seguridad derivados de la actividad, proporcionalidad e intervención mínima. Estas decisiones deben analizarse junto con el derecho a la intimidad de los trabajadores.
Conservación, acceso a grabaciones y empresas de seguridad
El artículo 22.3 fija un máximo de un mes desde la captación. El plazo debe ser menor si basta para la finalidad. La excepción permite conservar imágenes para acreditar actos contra la integridad de personas, bienes o instalaciones; deben ponerse a disposición de la autoridad competente en un máximo de 72 horas desde que se conoce la existencia de la grabación. Ese plazo se refiere a la entrega, no a una autorización adicional para guardar cualquier imagen.
Ante una incidencia, identifica el fragmento pertinente, limita quién lo copia y documenta la entrega. Conservar todo el archivo del mes porque ocurrió un hecho aislado puede resultar excesivo. Tampoco se justifica compartir vídeos con otros vecinos, grupos de mensajería o redes sociales por el mero interés en identificar a alguien. Debe existir una base y finalidad adecuadas para cada comunicación y protegerse a terceros que aparecen en las imágenes.
Si una empresa externa trata las grabaciones por cuenta del responsable, se requiere el instrumento del artículo 28: normalmente un contrato escrito, también electrónico, o un acto jurídico vinculante de la Unión o de un Estado miembro. Debe regular instrucciones, seguridad, asistencia, subencargos y devolución o supresión. La mera instalación sin tratamiento por cuenta ajena no convierte automáticamente al instalador en encargado; hay que examinar sus accesos y servicios reales.
El responsable debe poder explicar quién tiene credenciales, quién exporta imágenes y qué sucede al terminar la relación. Un proveedor que conserva acceso remoto después de dejar de prestar el servicio puede mantener una exposición no prevista. El registro de actividades ayuda a relacionar finalidad, destinatarios y conservación, pero no sustituye comprobar que la configuración del grabador coincida con lo documentado.
Qué aportar si llega un requerimiento de la AEPD
Lee el objeto y el plazo del requerimiento antes de responder. Reúne el inventario de cámaras, una explicación de su finalidad, imágenes del campo de visión, carteles, información complementaria, controles de acceso y conservación. Aporta el contrato del prestador cuando exista encargo. La documentación debe responder a lo pedido y evitar divulgar grabaciones de personas ajenas si no son necesarias para acreditar el extremo investigado.
La guía del procedimiento de inspección de la AEPD permite entender las fases. Una reclamación no equivale a una sanción y una corrección no asegura el archivo. Explica con fechas qué estaba instalado, qué evidencia se conserva y qué se modificó. Si no conoces un dato, distingue esa incertidumbre de los hechos comprobados y detalla cómo estás verificándolo.
Quien considere que le graban ilícitamente puede documentar la ubicación visible, la información ofrecida y los hechos que fundamentan su reclamación ante la AEPD, sin acceder de forma indebida al sistema ajeno. La guía general de la autoridad explica su función. Para diseñar o revisar una instalación completa, la referencia complementaria es videovigilancia y RGPD en España.
Después de una resolución, asigna responsables a las medidas ordenadas y conserva las pruebas de ejecución. El ejemplo del establecimiento hostelero muestra por qué pagar no agota necesariamente las obligaciones. Si el sistema cambia de finalidad, se amplía o incorpora reconocimiento facial, hay que volver a valorar su licitud y riesgos; la conformidad de la instalación anterior no se transmite automáticamente a la nueva tecnología.