Instalar un sistema de cámaras de seguridad no consiste únicamente en colocar los dispositivos y configurar un grabador. Cuando las cámaras captan imágenes de personas identificadas o identificables, esas imágenes constituyen datos personales y el tratamiento queda sometido a la normativa de protección de datos. Por ello, cualquier empresa, comercio, comunidad de propietarios u organización que utilice videovigilancia debe comprobar que su instalación cumple con el Reglamento General de Protección de Datos (RGPD) y con la normativa española aplicable.
Adaptar un sistema de cámaras al RGPD implica revisar tanto los aspectos técnicos como los organizativos. No solo hay que prestar atención a la ubicación y orientación de las cámaras, sino también a la información que se proporciona a las personas, el tiempo durante el que se conservan las grabaciones, quién puede acceder a ellas y las medidas utilizadas para protegerlas.
La Agencia Española de Protección de Datos (AEPD) dispone de una sección específica sobre videovigilancia y diferentes recursos para ayudar a responsables y encargados a cumplir estas obligaciones.
¿Por qué las cámaras de seguridad están sujetas al RGPD?
La imagen de una persona es un dato personal cuando permite identificarla o hacerla identificable. Por esta razón, la captación de imágenes mediante cámaras de seguridad constituye, en determinadas circunstancias, un tratamiento de datos personales. Esto significa que el responsable del sistema debe cumplir los principios y obligaciones establecidos por la normativa de protección de datos.
El hecho de que las cámaras tengan una finalidad de seguridad no elimina estas obligaciones. La normativa permite utilizar sistemas de videovigilancia para preservar la seguridad de las personas, bienes e instalaciones, pero el tratamiento debe ser proporcional a la finalidad perseguida.
Antes de instalar las cámaras conviene preguntarse si realmente son necesarias y si la finalidad de seguridad podría conseguirse mediante una medida menos invasiva para la privacidad. La AEPD señala expresamente que la videovigilancia debe utilizarse cuando no sea posible acudir a otros medios que causen un menor impacto en los derechos de las personas.
¿Qué hay que revisar para adaptar las cámaras al RGPD?
La adaptación de un sistema de videovigilancia debe realizarse teniendo en cuenta varios aspectos. No existe una única configuración válida para todas las instalaciones, ya que los requisitos pueden variar dependiendo de si se trata de una vivienda, un comercio, una empresa, una comunidad de propietarios o una instalación con características especiales.
Revisar la finalidad de las cámaras
El primer paso consiste en determinar claramente para qué se utilizan las cámaras. Una instalación destinada a proteger un establecimiento frente a robos no debería utilizarse posteriormente para una finalidad incompatible con aquella que justificó la instalación.
La finalidad también determina qué zonas es necesario grabar. Si una cámara se instala para controlar la entrada de un edificio, por ejemplo, no significa que deba registrar toda la calle o las propiedades situadas alrededor.
Definir correctamente la finalidad permite aplicar posteriormente los principios de minimización y limitación de la finalidad establecidos por la normativa.
Comprobar el campo de visión
Uno de los aspectos técnicos más importantes es comprobar exactamente qué zonas aparecen en las imágenes. El RGPD establece el principio de minimización, que exige que los datos tratados sean adecuados, pertinentes y limitados a lo necesario en relación con la finalidad del tratamiento.
En videovigilancia, esto implica utilizar únicamente las cámaras necesarias y configurar correctamente sus características técnicas. El zoom, las cámaras orientables y las cámaras domo pueden ampliar considerablemente el área captada y, por ello, requieren especial atención.
Si una cámara puede captar una vivienda vecina, una terraza privada o una zona de la vía pública que no resulta necesaria para la finalidad de seguridad, debe modificarse su orientación o utilizar las herramientas disponibles para limitar la captación.
Para obtener más recomendaciones sobre el uso de este tipo de dispositivos, consulta nuestros Consejos para el uso de su cámara activada por movimiento.
¿Se puede grabar la vía pública con una cámara privada?
Como regla general, los sistemas privados no pueden utilizarse para grabar indiscriminadamente la vía pública con fines de seguridad. La AEPD indica que la captación de imágenes de la vía pública con fines de seguridad corresponde a las Fuerzas y Cuerpos de Seguridad.
Excepcionalmente, una cámara privada puede captar una parte de la vía pública cuando resulte imprescindible para conseguir la finalidad de seguridad o sea imposible evitarlo debido a la ubicación de las cámaras. Incluso en estos casos debe evitarse cualquier tratamiento de datos innecesario.
Por eso, al adaptar una instalación al RGPD es importante revisar las imágenes reales que proporciona cada cámara y no limitarse a comprobar hacia dónde parece apuntar físicamente.
¿Es obligatorio colocar un cartel de videovigilancia?
Sí, cuando existe un tratamiento de datos mediante videovigilancia sujeto a la normativa, las personas afectadas deben recibir la información correspondiente.
La AEPD contempla un sistema de información por capas. La primera capa se proporciona mediante un dispositivo informativo colocado en un lugar visible y debe indicar, entre otros aspectos, la existencia de la videovigilancia, la identidad del responsable, la posibilidad de ejercer los derechos correspondientes y dónde obtener información adicional.
El resto de información exigida por el artículo 13 del RGPD debe estar disponible de forma accesible para las personas afectadas. Puede facilitarse, por ejemplo, mediante una hoja informativa, en recepción, en una oficina o a través de una dirección web.
Por tanto, adaptar las cámaras al RGPD no significa simplemente colocar un cartel que diga «Zona videovigilada». Hay que comprobar que la información proporcionada cumple con los requisitos establecidos. Si quieres ampliar esta cuestión, puedes consultar ¿Necesito un aviso legal si tengo cámaras de videovigilancia?.
¿Cuánto tiempo se pueden conservar las grabaciones?
El plazo de conservación es otro de los aspectos fundamentales. El artículo 22 de la LOPDGDD establece que las imágenes obtenidas mediante sistemas de videovigilancia deben suprimirse en el plazo máximo de un mes, salvo determinadas excepciones.
Cuando las imágenes deban conservarse para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones, pueden mantenerse durante el tiempo necesario para esa finalidad. En estos casos, deben ponerse a disposición de la autoridad competente en un plazo máximo de 72 horas desde que se tenga conocimiento de la existencia de la grabación.
Por este motivo, el grabador o sistema de almacenamiento debe configurarse de manera que las imágenes antiguas se eliminen automáticamente dentro del plazo correspondiente, salvo aquellas grabaciones que deban conservarse legítimamente por un incidente.
¿Quién puede acceder a las grabaciones?
Las imágenes de videovigilancia no deberían estar disponibles para cualquier persona que tenga acceso al establecimiento o al sistema informático. El acceso debe limitarse a las personas que necesiten consultar las grabaciones para realizar sus funciones.
Los monitores utilizados para visualizar las imágenes también deben colocarse de manera que no puedan ser observados fácilmente por personas que no estén autorizadas para controlar el sistema. La AEPD señala expresamente que los monitores deben situarse, en la medida de lo posible, de forma que únicamente puedan ser visualizados por quienes tienen funciones relacionadas con el control de los equipos.
Esto es especialmente importante en comercios, oficinas, comunidades de propietarios y establecimientos donde varias personas pueden encontrarse físicamente cerca del monitor o del grabador.
¿Qué medidas de seguridad necesita un sistema de videovigilancia?
El artículo 32 del RGPD establece la obligación de aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo. La medida concreta dependerá de las características del tratamiento y de los riesgos existentes.
En un sistema de cámaras, esto puede implicar proteger el acceso al grabador, utilizar credenciales adecuadas, restringir los permisos de los usuarios y evitar que las imágenes puedan ser consultadas por personas no autorizadas.
También es importante prestar atención a las cámaras conectadas a Internet. Los dispositivos deberían mantenerse actualizados y configurarse de forma segura para reducir el riesgo de accesos externos no autorizados.
La seguridad no debe limitarse al dispositivo físico. También deben establecerse procedimientos internos sobre quién puede consultar las grabaciones, cuándo puede hacerlo y cómo deben gestionarse las imágenes cuando sea necesario conservarlas o entregarlas a una autoridad.
Para ampliar esta cuestión, puedes consultar información adicional sobre la seguridad en las cámaras de vigilancia.
¿Hay que crear un registro de actividades de tratamiento?
La AEPD indica que, en relación con el tratamiento de imágenes mediante sistemas de videovigilancia, el responsable debe configurar el correspondiente Registro de Actividades de Tratamiento (RAT) conforme al artículo 30 del RGPD.
Este registro es un documento interno que permite identificar y organizar los tratamientos de datos realizados bajo responsabilidad de la organización.
En el caso de la videovigilancia, debería reflejar aspectos relacionados con el tratamiento, como su finalidad y otra información exigida por el RGPD. La documentación debe mantenerse actualizada cuando cambien las características del sistema.
Para determinados tratamientos de bajo riesgo, la AEPD dispone de la herramienta Facilita RGPD, que puede generar documentación orientativa. Sin embargo, la propia Agencia advierte de que utilizar esta herramienta no supone automáticamente cumplir todas las obligaciones del RGPD: la documentación debe adaptarse a la situación concreta de cada responsable.
¿Es necesario hacer un análisis de riesgos?
La protección de datos se basa en un enfoque de responsabilidad activa y en la gestión de los riesgos que el tratamiento puede generar para los derechos y libertades de las personas.
Por ello, antes de poner en funcionamiento un sistema de videovigilancia es conveniente analizar los riesgos asociados al tratamiento y determinar qué medidas de seguridad resultan adecuadas. La AEPD señala que el responsable debe realizar un análisis de riesgos o, cuando corresponda, una evaluación de impacto en protección de datos.
No todos los sistemas de cámaras presentan el mismo nivel de riesgo. Una pequeña instalación de videovigilancia en un comercio puede tener unas características muy diferentes de las de un sistema utilizado en una infraestructura de grandes dimensiones o que incorpore tecnologías especialmente invasivas.
Por eso, las medidas deben establecerse teniendo en cuenta el contexto, el alcance, la finalidad y las características concretas del tratamiento.
¿Qué ocurre si una empresa externa gestiona las cámaras?
Muchas empresas contratan a compañías de seguridad o proveedores especializados para instalar, mantener o gestionar sus sistemas de videovigilancia. Esto no significa que desaparezcan las obligaciones del responsable del tratamiento.
Cuando una empresa externa actúa como encargado del tratamiento, deben cumplirse los requisitos establecidos en el artículo 28 del RGPD y regular adecuadamente la relación entre responsable y encargado. La AEPD contempla expresamente esta situación dentro de sus recomendaciones sobre videovigilancia.
Por ello, antes de contratar un servicio de gestión de cámaras conviene determinar qué funciones tendrá realmente el proveedor, qué acceso tendrá a las imágenes y bajo qué condiciones se realizará dicho tratamiento.
¿Cómo adaptar paso a paso un sistema de cámaras al RGPD?
La adaptación debería comenzar identificando la finalidad concreta de la videovigilancia y comprobando que las cámaras son necesarias para conseguirla. Después, debe revisarse el campo de visión de cada dispositivo para limitar la captación a las zonas imprescindibles.
A continuación, es necesario comprobar que las personas reciben la información correspondiente mediante el cartel de videovigilancia y que tienen acceso a la información adicional exigida por el RGPD. También debe revisarse el periodo de conservación y configurar el sistema de almacenamiento para evitar conservar imágenes innecesariamente.
Después, conviene determinar qué personas pueden acceder a las grabaciones y establecer las medidas técnicas y organizativas necesarias para protegerlas. Finalmente, deben mantenerse actualizados el Registro de Actividades de Tratamiento, el análisis de riesgos y la documentación relacionada con proveedores externos cuando corresponda.
La adaptación no debería considerarse un proceso que se realiza una única vez. Si se añaden cámaras, se cambia su ubicación, se modifica la finalidad del sistema o se incorporan nuevas tecnologías, es necesario volver a revisar el tratamiento.
Conclusión
Adaptar un sistema de cámaras al RGPD implica mucho más que colocar un cartel de videovigilancia. Es necesario analizar la finalidad del sistema, utilizar únicamente las cámaras necesarias, limitar el campo de visión, evitar captaciones innecesarias de espacios ajenos, informar correctamente a las personas y establecer un plazo adecuado para la conservación de las imágenes.
También deben aplicarse medidas de seguridad para impedir accesos no autorizados, mantener el correspondiente Registro de Actividades de Tratamiento y analizar los riesgos asociados al sistema. Cuando interviene una empresa externa, además, debe determinarse si actúa como encargado del tratamiento y cumplir los requisitos correspondientes.
La AEPD dispone de guías, fichas y herramientas específicas para facilitar el cumplimiento de estas obligaciones. No obstante, la propia Agencia recuerda que las herramientas y documentos orientativos deben adaptarse a las circunstancias concretas de cada tratamiento.
Una instalación de videovigilancia correctamente adaptada al RGPD debe buscar un equilibrio entre la seguridad y la protección de la privacidad. La clave está en captar únicamente las imágenes necesarias, informar a las personas afectadas, proteger las grabaciones y conservarlas solo durante el tiempo permitido.
Para conocer las posibles consecuencias del incumplimiento de estas obligaciones, puedes consultar Sanciones por incumplir la normativa de videovigilancia en España.