La videovigilancia en España exige justificar para qué se captan imágenes, limitar el espacio observado, informar a las personas y controlar quién puede acceder a las grabaciones. El artículo 22 de la LOPDGDD regula los tratamientos destinados a preservar la seguridad de personas, bienes e instalaciones. Cuando el sistema se utiliza en el trabajo, también deben examinarse las garantías del artículo 89 y la normativa laboral.
No basta con colocar un cartel ni con contratar una empresa instaladora. Una cámara puede estar bien señalizada y seguir siendo desproporcionada por grabar el interior de una vivienda vecina. Esta guía explica cómo tomar las decisiones antes de activar el sistema y cómo mantenerlas durante su uso, diferenciando la obligación legal de las recomendaciones prácticas.
1. Base jurídica y principios
La LOPDGDD, artículos 22 y 89, debe leerse junto con el RGPD. Para videovigilancia de seguridad, la guía de la AEPD utiliza el cumplimiento de una misión de interés público del artículo 6.1 e, en conexión con el marco legal español. No conviene copiar sin análisis una cláusula que presente siempre el interés legítimo del artículo 6.1 f como base de cualquier cámara privada.
La finalidad concreta importa. Proteger un acceso, controlar obligaciones laborales, retransmitir un evento y analizar el comportamiento comercial no son tratamientos intercambiables. Una base aplicable a seguridad no autoriza por sí sola a estudiar emociones, elaborar perfiles de clientes o reutilizar imágenes para publicidad. Documente el propósito y compruebe las bases de legitimación del RGPD antes de incorporar funciones adicionales.
La proporcionalidad exige conectar cada cámara con una necesidad real. Describa el problema, las zonas vulnerables y las alternativas menos intrusivas: cerraduras, iluminación, control de acceso o cambios de organización. No existe una obligación general de sufrir primero un delito para valorar cámaras, pero una afirmación abstracta de que aumentan la seguridad tampoco justifica cualquier alcance. La decisión debe permitir entender por qué esas imágenes son necesarias.
En un local, por ejemplo, puede ser suficiente observar la entrada y el almacén. Grabar de forma continua un espacio dedicado a conversaciones privadas plantea otra injerencia. El análisis debe concretar orientación, horario, resolución y funciones activadas. Si el riesgo se concentra cuando el local está cerrado, explique por qué sería necesario grabar también durante toda la jornada. Una configuración elegida por defecto no sustituye esta decisión.
2. El artículo 22 LOPDGDD: las reglas básicas
El artículo 22.2 permite captar imágenes de la vía pública solo en la medida imprescindible para la finalidad de seguridad. Contempla una captación superior cuando resulte necesaria para bienes o instalaciones estratégicos o infraestructuras vinculadas al transporte, sin captar el interior de un domicilio privado. Esa previsión específica no convierte a cualquier negocio en vigilante de toda la calle.
Antes de instalar, revise el encuadre real desde el monitor. El plano comercial del dispositivo no muestra necesariamente qué se ve con el zoom ni de noche. Cuando proceda, utilice máscaras de privacidad y limite ajustes que permitirían ampliar el campo sin revisión. Una cámara orientada hacia una puerta propia puede seguir captando ventanas ajenas; lo relevante es la imagen obtenida, no dónde está atornillada.
La información debe situarse en un lugar suficientemente visible. El dispositivo informativo debe identificar al menos la existencia del tratamiento, al responsable y la posibilidad de ejercer los derechos de los artículos 15 a 22 RGPD. Puede incluir un código o dirección que permita acceder a información adicional, y esta debe mantenerse disponible. Un adhesivo con el dibujo de una cámara y el nombre del fabricante no cumple necesariamente esos requisitos.
La ley no exige un cartel «homologado» como categoría de certificación. Los modelos de la AEPD son útiles, pero deben completarse correctamente. Sitúe la información antes de entrar en la zona vigilada siempre que el acceso lo permita, y facilite una vía que no dependa exclusivamente de disponer de un teléfono capaz de leer un código. La información adicional debe describir finalidad, base, conservación, destinatarios y derechos aplicables.
3. Conservación: un mes máximo y una excepción concreta
Para el tratamiento de seguridad del artículo 22, las imágenes deben suprimirse en el plazo máximo de un mes desde su captación. Es un límite máximo, no un periodo que todos los sistemas deban agotar. Si la necesidad se satisface con una conservación menor, el principio de limitación del plazo obliga a tenerlo en cuenta. Ajuste el borrado automático y compruebe que también afecta a copias de trabajo y exportaciones ordinarias.
La excepción del artículo 22.3 se refiere a imágenes que deban conservarse para acreditar actos contra la integridad de personas, bienes o instalaciones. En ese caso deben ponerse a disposición de la autoridad competente en un máximo de 72 horas desde que se conozca la existencia de la grabación. No es una autorización genérica para guardar cualquier infracción indefinidamente ni se limita literalmente a hechos ya calificados como delito por un tribunal.
Suponga que se localiza una grabación relacionada con daños en la puerta de un comercio. Identifique el tramo pertinente, preserve su integridad, limite accesos y documente cuándo se tuvo conocimiento de él y cómo se puso a disposición de la autoridad. No amplíe por ese motivo la conservación de todos los días y todas las cámaras. El artículo 22.3 excluye para estos tratamientos la obligación de bloqueo del artículo 32 LOPDGDD.
Este plazo de 72 horas no es el plazo de notificación de una brecha de datos del artículo 33 RGPD: tiene otro supuesto y otro momento de inicio. Si alguien roba el grabador o accede indebidamente a las imágenes, deberá evaluarse por separado si existe una brecha y qué obligaciones genera. Mantener diferenciados ambos procedimientos evita enviar un aviso equivocado y creer que con él se ha cumplido todo.
4. Cámaras en el ámbito laboral
El artículo 89 permite tratar imágenes para las funciones de control de trabajadores o empleados públicos previstas legalmente, dentro de sus límites. La información previa debe ser expresa, clara y concisa y dirigirse a las personas trabajadoras y, en su caso, a sus representantes. Un cartel pensado únicamente para visitantes no debería sustituir sin más la explicación del uso laboral habitual del sistema.
En ningún caso se admite instalar sistemas de videovigilancia o grabación de sonidos en lugares destinados al descanso o esparcimiento, como vestuarios, aseos, comedores y espacios análogos. Fuera de esas zonas siguen existiendo límites de necesidad y proporcionalidad. Informar de una vigilancia excesiva no la convierte en lícita. La guía sobre intimidad de las personas trabajadoras permite situar estas garantías junto con otros controles digitales.
La ley contempla el supuesto de captación de un acto ilícito flagrante: el deber de informar se entiende cumplido cuando exista al menos el dispositivo informativo del artículo 22.4. Esa regla no permite implantar de forma ordinaria cámaras ocultas con la única explicación de que podría producirse una irregularidad. La obtención y utilización de prueba laboral requiere examinar los hechos y las garantías del caso.
La Gran Sala del TEDH resolvió López Ribalda y otros contra España el 17 de octubre de 2019. No apreció vulneración del artículo 8 del Convenio en las circunstancias concretas de aquella vigilancia encubierta, tras valorar sospechas de irregularidades graves y otras garantías. No creó una licencia general para grabar secretamente ante cualquier sospecha. Deben evaluarse alcance, duración, acceso, consecuencias y alternativas junto con las exigencias españolas vigentes.
El sonido merece una decisión separada. El artículo 89.3 lo admite únicamente cuando resulten relevantes riesgos para la seguridad de instalaciones, bienes y personas derivados de la actividad del centro, respetando proporcionalidad, intervención mínima y garantías. Dejar el micrófono activado porque venía incluido no es una justificación. La información para empleados debe describir lo que realmente se utiliza y para qué.
5. Comunidades de propietarios y viviendas
En una comunidad, la decisión de instalar debe adoptarse conforme a la Ley de Propiedad Horizontal y a las reglas aplicables al acuerdo. La comunidad suele ser responsable del tratamiento cuando decide el sistema de vigilancia de zonas comunes. El administrador de fincas o la empresa de seguridad no asumen automáticamente esa posición por ayudar con la contratación. Deje constancia de quién decide y quién gestiona cada tarea.
Los accesos de vecinos, las plazas de garaje y los pasillos requieren encuadres proporcionados. No se deben enfocar espacios privativos por comodidad ni poner las imágenes a disposición de todos los propietarios sin necesidad. El derecho a participar en la junta no equivale a un derecho general a revisar las entradas y salidas de los demás. Los conflictos sobre estos usos se desarrollan en el artículo sobre sanciones a comunidades de propietarios.
La excepción de actividad exclusivamente personal o doméstica del artículo 2.2 c RGPD debe valorarse por el uso efectivo. Una cámara interior destinada a una actividad puramente doméstica puede quedar fuera; la misma cámara utilizada para controlar a una persona empleada en el hogar no queda excluida solo por estar dentro de una vivienda. Tampoco debe darse por supuesta la excepción si se graban espacios ajenos o públicos.
Que la excepción no resulte aplicable no significa que instalar un cartel vuelva lícita cualquier captación. Habrá que justificar el tratamiento, minimizar el campo y cumplir las demás obligaciones. Si la cámara invade injustificadamente la vivienda vecina, la primera medida puede ser cambiar su orientación o retirarla, no redactar una política más larga.
6. Timbres inteligentes y acceso remoto
Un videoportero que solo permite comprobar quién llama no plantea necesariamente el mismo tratamiento que un dispositivo que graba continuamente, detecta movimiento en todo el rellano y conserva imágenes en una nube. Revise cuándo se activa, si guarda imágenes o audio, a quién observa y quién accede. No decida la aplicación del RGPD exclusivamente por la marca o por la descripción comercial de uso doméstico.
Desactive las funciones que no sean necesarias y compruebe los permisos de las cuentas vinculadas. Una persona que dejó de convivir en la vivienda o un antiguo empleado de mantenimiento no deberían conservar acceso remoto por descuido. Si una empresa presta almacenamiento o soporte con acceso a imágenes, identifique su función, las condiciones de tratamiento y las posibles transferencias internacionales. Elegir un servidor europeo no resuelve por sí solo quién puede acceder desde otros lugares.
En una comunidad conviene evitar que la cuenta principal dependa del correo personal de un vecino que cambia cada año. Es una recomendación organizativa para mantener control, recuperación y trazabilidad. Documente el relevo de responsables de acceso y la retirada de permisos. No comparta clips en grupos de mensajería para avergonzar a vecinos o identificar públicamente a una persona: esa difusión es un uso distinto que requiere su propia valoración.
7. Derechos de las personas grabadas
Una solicitud de acceso puede requerir localizar a la persona en un intervalo y cámara determinados. Pida solo los datos necesarios para encontrarla y verificar su identidad de manera proporcionada. No imponga de entrada una copia completa del DNI en todo caso. Dado que las imágenes se suprimen con rapidez, organice un canal que permita tramitar solicitudes antes de que la revisión resulte inútil.
La presencia de otras personas no permite denegar automáticamente todo acceso. Evalúe la protección de sus derechos mediante enmascaramiento, recorte u otras soluciones adecuadas. La copia debe permitir ejercer el derecho sin revelar innecesariamente información ajena. El artículo 15.4 exige considerar los derechos y libertades de terceros; no convierte cualquier imagen compartida en material inaccesible. Consulte el procedimiento de derecho de acceso para coordinar identificación, búsqueda y entrega.
También deben valorarse supresión, limitación u oposición cuando procedan. La información sobre las medidas adoptadas se facilita sin dilación indebida y, como máximo, en un mes desde la recepción. Cabe ampliar otros dos meses cuando sea necesario por complejidad y número de solicitudes, informando y motivándolo dentro del primero. Si no se actúa, deben comunicarse las razones sin demora y dentro de un mes, con información sobre reclamación y tutela judicial.
Un encargado debe ayudar al responsable a gestionar estas solicitudes en los términos del artículo 28. El solicitante no tiene por qué conocer la marca del grabador o el nombre del instalador para dirigirse a quien decide el tratamiento. Mantenga una documentación limitada del resultado y de las comunicaciones, sin convertir el expediente de derechos en un archivo paralelo de todas las grabaciones.
8. Registro, proveedores y evaluación de impacto
La vigilancia habitual no se convierte en ocasional por tener pocas cámaras. Al examinar la excepción del artículo 30.5 para organizaciones con menos de 250 personas, recuerde que no cubre tratamientos no ocasionales, susceptibles de entrañar riesgo o que incluyen categorías del artículo 9 o datos del artículo 10. Documentar el sistema en el registro de actividades ayuda a relacionar cámaras, finalidad, personas afectadas, destinatarios, seguridad y conservación.
El instalador que solo vende un equipo no es automáticamente encargado. Si accede a grabaciones por cuenta del responsable, puede existir una relación de encargo. Cuando se aplica el artículo 28, debe regirse por contrato u otro acto jurídico vinculante conforme al Derecho de la Unión o de un Estado miembro, por escrito, incluido formato electrónico. Compruebe accesos de mantenimiento, subcontratación y devolución o supresión al terminar el servicio.
El artículo 35.3 c exige evaluación de impacto para la observación sistemática a gran escala de una zona de acceso público. Son condiciones conjuntas; no toda cámara en un pequeño local la exige automáticamente por ese solo motivo. Pero tampoco existe una exención absoluta para locales pequeños: otros factores pueden determinar alto riesgo. La evaluación de impacto debe hacerse antes de comenzar cuando sea necesaria.
El reconocimiento facial requiere un examen distinto de la grabación convencional. Cuando se tratan datos biométricos para identificar de manera unívoca, debe satisfacerse además el artículo 9. La evaluación de impacto no crea una excepción al tratamiento prohibido ni sirve de autorización administrativa general. No active esa función con el argumento de que el proveedor ya hizo su propio informe.
Preguntas frecuentes
¿Hay que conservar siempre un mes?
No. Para la videovigilancia de seguridad del artículo 22, un mes es el máximo ordinario. Puede ser necesario un plazo menor. La excepción para acreditar actos contra la integridad de personas, bienes o instalaciones exige poner las imágenes a disposición de la autoridad competente dentro de las 72 horas desde conocer la existencia de la grabación.
¿El cartel autoriza a grabar a empleados?
No por sí solo. Se deben cumplir la finalidad y proporcionalidad del control, la información laboral y las prohibiciones del artículo 89. La regla sobre actos ilícitos flagrantes no equivale a un permiso general de vigilancia oculta.
¿Cómo se valoran las sanciones?
Dependen de los hechos, preceptos y circunstancias de cada expediente. La comparación de resoluciones sobre videovigilancia debe distinguir sanciones, archivos y medidas correctivas. Para el marco general puede consultarse la guía de sanciones del RGPD; ninguna tabla sustituye la revisión del sistema concreto.