La videovigilancia se ha consolidado como una herramienta habitual para garantizar la seguridad de personas, bienes e instalaciones. Sin embargo, su uso no está exento de límites. Las cámaras captan imágenes de personas físicas identificadas o identificables y, por tanto, constituyen un tratamiento de datos personales plenamente sometido al Reglamento General de Protección de Datos (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).
Las recientes resoluciones de la Agencia Española de Protección de Datos (AEPD) —en particular los expedientes EXP202500203 y EXP202412270— ofrecen una radiografía muy clara de los criterios de la autoridad de control, así como de los errores más frecuentes cometidos por particulares y titulares de establecimientos abiertos al público.
La videovigilancia como tratamiento de datos personales
El RGPD define como dato personal toda información sobre una persona física identificada o identificable (art. 4.1 RGPD). La imagen de una persona entra de lleno en esta definición, de modo que:
- La captación de imágenes
- Su visualización en tiempo real
- Su almacenamiento
- Y, especialmente, su difusión
son operaciones de tratamiento de datos personales (art. 4.2 RGPD).
Quien decide instalar un sistema de cámaras, su ubicación y finalidad es el responsable del tratamiento, incluso tratándose de una persona física o de un pequeño negocio.
La base jurídica y las finalidades legítimas
La normativa permite el uso de cámaras, pero no de cualquier manera ni para cualquier finalidad.
El artículo 22 de la LOPDGDD autoriza la videovigilancia cuando tenga por objeto:
- Preservar la seguridad de personas y bienes
- Proteger instalaciones
- Y, en el ámbito laboral, ejercer funciones de control dentro de los límites del artículo 20.3 del Estatuto de los Trabajadores
Pero la legitimidad no convierte el sistema en ilimitado. Como recuerda reiteradamente la AEPD, la licitud del tratamiento exige el respeto estricto de los principios del RGPD, muy especialmente los principios de minimización, proporcionalidad, confidencialidad y transparencia.
El principio de minimización: el eje central de la videovigilancia
El artículo 5.1.c) RGPD establece que los datos deben ser:
"adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados".
Este principio ha sido el núcleo sancionador en ambos expedientes analizados.
Grabación excesiva = infracción
En el EXP202500203, la AEPD apercibe a una particular por instalar una cámara en un portal privado orientada hacia la vía pública, llegando a captar imágenes de terceros —incluida una menor— sin causa que lo justificase. La Agencia recuerda que:
- Los particulares no pueden grabar espacios públicos
- La videovigilancia de la vía pública es competencia exclusiva de las Fuerzas y Cuerpos de Seguridad (LO 4/1997)
- Incluso una orientación incorrecta, aunque sea parcial, vulnera el principio de minimización
En el EXP202412270, relativo a un restaurante, la AEPD considera desproporcionada la captación continuada de zonas de mesas, barra y terraza exterior, lugares de ocio donde los clientes permanecen durante tiempo prolongado y donde la intromisión en la intimidad resulta especialmente intensa.
La conclusión es clara: que una cámara pueda servir para un fin legítimo no significa que todo lo que graba sea lícito.
Confidencialidad: cuando la difusión agrava la infracción
Uno de los aspectos más relevantes del segundo expediente es la vulneración del art ículo 5.1.f) RGPD (integridad y confidencialidad).
La AEPD sanciona la difusión de una imagen captada por videovigilancia a un grupo de WhatsApp, ajeno a cualquier finalidad de seguridad o legal. Este hecho supone:
- Un acceso no autorizado
- Un uso incompatible con la finalidad inicial
- Y una pérdida total de control sobre los datos
La Agencia recuerda que la videovigilancia no legitima la circulación informal de imágenes, ni siquiera entre profesionales del mismo sector, y que los responsables deben implantar medidas técnicas y organizativas eficaces para impedir estos usos.
Transparencia e información: no basta con "poner un cartel después"
Otro incumplimiento recurrente es la falta de información adecuada.
El RGPD, desarrollado por el artículo 22.4 LOPDGDD, exige un sistema de información por capas, que se materializa, como mínimo, en:
- Carteles visibles antes de acceder a la zona videovigilada
- Identificación clara del responsable
- Indicación del ejercicio de derechos
- Y disponibilidad de información ampliada
En el EXP202412270, aunque el responsable aportó carteles y documentos informativos, la AEPD subraya un principio fundamental:
La información debe existir antes del tratamiento, no después de la inspección.
Asimismo, en el ámbito laboral, informar genéricamente o de forma verbal no es suficiente. Los trabajadores deben conocer qué se graba, con qué finalidad y con qué consecuencias, y disponer de documentación clara.
Apercibimiento o multa: la reacción de la AEPD
Las dos resoluciones muestran una diferencia relevante en la respuesta de la AEPD:
- En el EXP202500203, la Agencia opta por un apercibimiento, valorando la retirada inmediata del sistema y la eliminación de las imágenes.
- En el EXP202412270, la concurrencia de varias infracciones (minimización, confidencialidad y transparencia) y la difusión indebida de imágenes justifican una multa de 3.000 €, reducida a 1.800 € por pronto pago y reconocimiento de responsabilidad.
El mensaje es claro: la corrección voluntaria mitiga la sanción, pero no borra la infracción, y no siempre evita una multa económica.
Conclusiones prácticas
De la normativa y de la doctrina de la AEPD pueden extraerse algunas reglas esenciales:
- ✅ La videovigilancia es legal, pero excepcional y limitada
- ✅ Grabar más de lo necesario constituye infracción, aunque exista una finalidad legítima
- ✅ No puede captarse vía pública ni zonas de ocio de manera permanente
- ✅ Las imágenes nunca pueden difundirse fuera de los supuestos legalmente previstos
- ✅ Informar correctamente no es un trámite formal, sino una obligación esencial
- ✅ La responsabilidad recae siempre en quien decide instalar y usar las cámaras