La videovigilancia mediante cámaras de seguridad es una práctica habitual en comercios, oficinas, comunidades de propietarios, industrias y espacios de uso público. Sin embargo, instalar cámaras sin informar correctamente a las personas que van a ser captadas constituye una infracción del Reglamento General de Protección de Datos (RGPD, Reglamento UE 2016/679) y de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). El instrumento principal de esa información es el cartel informativo de videovigilancia, cuyo contenido mínimo, ubicación y condiciones de uso están regulados de forma específica. Este artículo responde de forma sistemática a las preguntas más frecuentes que recibimos en Summum Consultoría sobre este elemento, aparentemente sencillo pero con frecuencia mal ejecutado.
¿Qué base legal regula el cartel de videovigilancia?
La obligación de informar mediante cartel deriva de la aplicación conjunta de varias normas:
- Artículo 13 del RGPD: establece la información que el responsable del tratamiento debe facilitar a los interesados en el momento en que sus datos sean recogidos. Las imágenes captadas por cámaras son datos personales cuando permiten identificar a una persona física.
- Artículo 22 de la LOPDGDD (videovigilancia): regula específicamente el tratamiento de imágenes en espacios públicos y privados con acceso al público, estableciendo la obligación del dispositivo informativo en zona visible y accesible, y fijando el plazo máximo de conservación de las imágenes en un mes con carácter general.
- Artículo 89 de la LOPDGDD (videovigilancia en el ámbito laboral): reconoce la facultad del empleador de instalar sistemas de captación de imágenes para el control de la actividad laboral, con la condición de que los trabajadores y sus representantes hayan sido informados previamente.
A estas normas se añade la Instrucción 1/2006, de 8 de noviembre, de la AEPD, que, aunque anterior al RGPD, sigue siendo la referencia técnica para el diseño del cartel, y el modelo orientativo publicado por la propia AEPD en su sede electrónica.
¿Qué información debe contener el cartel de videovigilancia?
El cartel debe cumplir la función de capa informativa básica o condensada —lo que la AEPD denomina «información por capas»—, de modo que el interesado pueda acceder de forma inmediata a los datos esenciales y, si lo desea, obtener información más detallada acudiendo a un segundo nivel (política de privacidad completa, formulario, aviso ampliado, etc.).
Los elementos mínimos que debe incluir el cartel son los siguientes:
| Elemento | Contenido requerido | Base legal |
|---|---|---|
| Pictograma o icono de cámara | Símbolo reconocible que identifique la existencia de videovigilancia. El modelo de la AEPD establece un icono de cámara normalizado. | Instrucción 1/2006 AEPD; art. 22 LOPDGDD |
| Texto informativo básico | Indicación de que la zona está videovigilada y de que las imágenes son tratadas. | Art. 13 RGPD; art. 22 LOPDGDD |
| Identidad del responsable del tratamiento | Nombre o denominación social del responsable. No es obligatorio incluir el NIF en el cartel, pero sí en la información ampliada. | Art. 13.1.a RGPD |
| Finalidad del tratamiento | Seguridad y control de acceso, control laboral, prevención de intrusiones u otras finalidades concretas. La finalidad declarada vincula al responsable: no pueden usarse las imágenes para fines distintos. | Art. 13.1.c RGPD |
| Referencia a los derechos de los interesados | Indicación de que el interesado puede ejercer los derechos de acceso, rectificación, supresión, limitación y oposición. | Arts. 15-21 RGPD |
| Vía para ejercer los derechos o acceder a información ampliada | Dirección física, correo electrónico o enlace a la política de privacidad completa donde obtener información adicional y ejercer derechos. | Art. 13.2 RGPD |
El modelo orientativo publicado por la AEPD incluye todos estos elementos y puede usarse como base, adaptándolo a los datos del responsable concreto. La AEPD no obliga a usar su modelo específico, pero sí advierte que la omisión de cualquiera de los elementos mínimos puede constituir infracción del deber de transparencia.
¿Dónde debe colocarse el cartel?
La ubicación del cartel es tan importante como su contenido. El artículo 22 de la LOPDGDD exige que el dispositivo informativo sea visible y accesible. La AEPD ha interpretado este requisito en múltiples resoluciones:
- El cartel debe colocarse en un lugar anterior al acceso a la zona videovigilada, de modo que el interesado tenga la información antes de entrar, no una vez que ya ha sido captado.
- Debe ser legible desde la distancia habitual de aproximación a la zona. Carteles de tamaño excesivamente reducido o situados a altura no visible han sido objeto de expediente sancionador.
- En espacios con múltiples accesos, debe colocarse un cartel en cada acceso relevante.
- Cuando la zona videovigilada es el interior de un establecimiento con acceso desde la calle, el cartel en la puerta o escaparate es la práctica habitual y generalmente suficiente, siempre que sea visible desde el exterior antes de entrar.
En el ámbito laboral, la obligación de información previa del artículo 89 de la LOPDGDD se cumple habitualmente mediante la cláusula informativa incorporada al contrato de trabajo o a través de un documento específico entregado al empleado. El cartel en la zona vigilada complementa esa información pero no la sustituye: la AEPD ha señalado que la información a trabajadores debe ser previa e individualizada, no solo ambiental.
¿Cuánto tiempo pueden conservarse las imágenes?
El plazo de conservación es uno de los aspectos que con más frecuencia genera incumplimientos. La regla general establecida en el artículo 22.3 de la LOPDGDD es clara:
«Las imágenes serán suprimidas en el plazo máximo de un mes desde su captación, salvo cuando hubieran de ser conservadas para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones.»
En la práctica, esto implica:
- Plazo ordinario: un mes. Pasado ese plazo, las imágenes deben eliminarse de forma segura e irreversible si no ha ocurrido ningún incidente que justifique su conservación.
- Excepción por incidente: si durante el periodo de grabación se produce un hecho que requiera poner las imágenes a disposición de las Fuerzas y Cuerpos de Seguridad del Estado o de los órganos judiciales, el responsable puede conservarlas hasta que concluya el procedimiento correspondiente. La AEPD recomienda documentar la razón de la conservación excepcional.
- Ámbito laboral: no existe un plazo diferenciado explícito para las cámaras de control laboral, pero el principio de minimización del RGPD y la doctrina de la AEPD apuntan a que tampoco deben conservarse más allá de lo necesario para la finalidad declarada, que generalmente no supera el mes salvo que exista un procedimiento disciplinario o judicial en curso.
El incumplimiento del plazo de conservación es una de las causas más frecuentes de expedientes sancionadores en materia de videovigilancia. Contar con un sistema de borrado automático —función habitual en los sistemas de grabación digitales (DVR/NVR)— es la medida técnica más sencilla para cumplir este requisito.
¿Qué diferencia hay entre videovigilancia en espacio privado, espacio público y ámbito laboral?
El marco legal distingue tres supuestos con implicaciones distintas:
| Supuesto | Base legal aplicable | Requisitos específicos |
|---|---|---|
| Espacio privado con acceso al público (comercio, hotel, restaurante, aparcamiento privado) | Art. 22 LOPDGDD + art. 13 RGPD | Cartel obligatorio en accesos. Finalidad: seguridad. Conservación máxima: 1 mes. No pueden captarse imágenes de la vía pública salvo la franja mínima imprescindible para el control de accesos. |
| Espacio privado sin acceso al público (interior de empresa, almacén, zona restringida) | Art. 22 LOPDGDD + art. 13 RGPD | Cartel igualmente obligatorio. Si hay trabajadores en la zona, aplica también el art. 89 LOPDGDD y la información previa individualizada. |
| Ámbito laboral (control de la actividad de empleados) | Art. 89 LOPDGDD + art. 13 RGPD | Información previa a trabajadores y representantes legales obligatoria. Finalidad: control laboral (no seguridad genérica). El cartel en zona vigilada complementa pero no sustituye la información individualizada previa. |
| Captación de vía pública | Solo permitida a FCSE y Administraciones en los términos de la LO 4/1997 y normativa sectorial | Un particular o empresa privada no puede instalar cámaras orientadas a captar la vía pública de forma continuada. Solo se admite la franja mínima imprescindible en la entrada al inmueble. |
¿Qué ocurre si no se coloca el cartel o este es insuficiente?
La ausencia del cartel informativo o la omisión de elementos esenciales puede dar lugar a procedimientos sancionadores por parte de la AEPD. Las infracciones relacionadas con el incumplimiento del deber de información se califican como infracciones graves en el artículo 83.4 del RGPD —con multas de hasta 10 millones de euros o el 2 % del volumen de negocio anual— o como infracciones muy graves en el artículo 83.5 si la ausencia de información está vinculada a la falta de base de legitimación del tratamiento.
El marco general de sanciones del RGPD (artículo 83) establece topes de hasta 20 millones de euros o el 4 % del volumen de negocio anual mundial para las infracciones más graves, aunque la cuantía concreta de cada expediente depende de los criterios de modulación del artículo 83.2 (intencionalidad, medidas adoptadas para reducir el daño, nivel de cooperación, etc.).
En la práctica de la AEPD, las sanciones por videovigilancia sin cartel en establecimientos comerciales medianos se han situado habitualmente en tramos de miles a decenas de miles de euros, con importes más elevados cuando concurren otras infracciones como captación de vía pública, conservación excesiva de imágenes o ausencia total de registro de actividades de tratamiento.
Las denuncias más frecuentes provienen de empleados o clientes que detectan cámaras sin señalización. La AEPD admite denuncias tanto a través de su sede electrónica como mediante escrito físico, y abre diligencias de investigación previa en la mayoría de los casos, lo que obliga al responsable a justificar su cumplimiento o corregir la situación.
¿Cuándo es necesario notificar una brecha de seguridad relacionada con videovigilancia?
Si se produce un incidente de seguridad que afecta a las imágenes grabadas —acceso no autorizado a las grabaciones, robo del sistema de almacenamiento, hackeo del NVR con acceso en remoto, difusión no autorizada de imágenes, etc.—, el responsable del tratamiento está obligado a notificarlo a la AEPD en el plazo máximo de 72 horas desde que tiene conocimiento del incidente, conforme al artículo 33 del RGPD.
Si la brecha puede entrañar un alto riesgo para los derechos y libertades de los afectados —por ejemplo, imágenes de carácter íntimo, imágenes que revelan información sensible sobre comportamientos, o una difusión masiva— el responsable también debe comunicar la brecha a los propios afectados sin dilación indebida, conforme al artículo 34 del RGPD. La comunicación debe describir en términos claros la naturaleza de la brecha, las posibles consecuencias y las medidas adoptadas o propuestas.
El incumplimiento del deber de notificación de brechas es objeto de sanciones independientes del incumplimiento original, lo que refuerza la importancia de contar con un procedimiento interno de gestión de incidentes, aunque la organización sea pequeña.
Lista de comprobación: cartel de videovigilancia conforme al RGPD
Antes de dar por cerrado el cumplimiento en materia de videovigilancia, repasa esta lista de verificación:
- El cartel incluye el pictograma de cámara normalizado.
- Se identifica al responsable del tratamiento (nombre o razón social).
- Se indica la finalidad del tratamiento (seguridad, control de accesos, control laboral).
- Se menciona el derecho de los interesados a acceder a información ampliada y ejercer sus derechos.
- Se proporciona una vía de contacto o referencia a la política de privacidad completa.
- El cartel está colocado en lugar visible antes de entrar a la zona vigilada.
- El tamaño y la ubicación permiten su lectura en condiciones normales de acceso.
- El sistema de grabación tiene configurado el borrado automático en un plazo igual o inferior a un mes.
- Las cámaras no captan la vía pública más allá de la franja mínima imprescindible.
- En caso de ámbito laboral, los trabajadores han recibido información previa e individualizada.
- El tratamiento de videovigilancia está documentado en el Registro de Actividades de Tratamiento (RAT) del responsable.
- Existe un procedimiento interno para gestionar brechas de seguridad y notificarlas a la AEPD en 72 horas si procede.
Si tienes dudas sobre la adecuación de tu sistema de videovigilancia al RGPD y la LOPDGDD, desde Summum Consultoría realizamos un diagnóstico de cumplimiento en materia de videovigilancia que incluye revisión del cartel, análisis del RAT, verificación de plazos de conservación y, si procede, redacción de la documentación complementaria. Acompañamos a empresas de Castilla y León y Canarias en la adecuación a la normativa de protección de datos, sin sustituir en ningún caso el criterio de la AEPD como autoridad supervisora.
Preguntas frecuentes
¿Es suficiente con un único cartel en la puerta de un comercio con varias cámaras interiores?
En principio, sí, siempre que el cartel sea visible desde el exterior antes de entrar y el espacio sea diáfano o el acceso conduzca directamente a la zona vigilada. Si el establecimiento tiene zonas diferenciadas con cámaras a las que se accede por entradas distintas (por ejemplo, una zona de carga y descarga con acceso independiente), deberá colocarse cartel en cada acceso relevante. La regla es que ninguna persona sea captada sin haber tenido la oportunidad de ver el cartel antes.
¿Puede una comunidad de propietarios instalar cámaras en zonas comunes?
Sí, siempre que lo apruebe la junta de propietarios con las mayorías exigidas por la Ley de Propiedad Horizontal y se cumplan los requisitos del RGPD y la LOPDGDD: cartel informativo en los accesos a las zonas vigiladas, conservación máxima de un mes, prohibición de orientar cámaras a la vía pública o a zonas privativas de propietarios, y documentación del tratamiento en el RAT de la comunidad. La comunidad actúa como responsable del tratamiento y debe designar a un representante que ejerza ese rol.
¿Es necesario inscribir el sistema de videovigilancia en algún registro?
No existe en España un registro público de sistemas de videovigilancia de carácter general al que haya que notificar la instalación. Lo que sí es obligatorio es incluir el tratamiento de videovigilancia en el Registro de Actividades de Tratamiento (RAT) del responsable, conforme al artículo 30 del RGPD. Ese RAT es un documento interno que la AEPD puede requerir en cualquier actuación de supervisión.
¿Puede el empleador usar imágenes de videovigilancia como prueba en un expediente disciplinario?
La jurisprudencia española —incluyendo la del Tribunal Supremo y el Tribunal Constitucional— ha admitido el uso de imágenes de videovigilancia laboral como prueba en procedimientos disciplinarios, siempre que los trabajadores hayan sido informados previamente de la existencia de las cámaras y de la posibilidad de usar las imágenes con esa finalidad. La sentencia del Tribunal Supremo de 21 de julio de 2021 (rcud 4877/2018) consolidó esta doctrina en el marco del artículo 89 de la LOPDGDD. Si la información no fue facilitada, la prueba puede resultar ilícita y ser inadmitida en el procedimiento laboral o penal.