La videovigilància s'ha consolidat com una eina habitual per garantir la seguretat de persones, béns i instal·lacions. Tanmateix, el seu ús no està exempt de límits. Les càmeres capten imatges de persones físiques identificades o identificables i, per tant, constitueixen un tractament de dades personals plenament sotmès al Reglament General de Protecció de Dades (RGPD) i a la Llei Orgànica 3/2018 (LOPDGDD).
Les resolucions recents de l'Agència Espanyola de Protecció de Dades (AEPD) —en particular els expedients EXP202500203 i EXP202412270— ofereixen una radiografia molt clara dels criteris de l'autoritat de control, així com dels errors més freqüents comesos per particulars i titulars d'establiments oberts al públic.
La videovigilància com a tractament de dades personals
El RGPD defineix com a dada personal tota informació sobre una persona física identificada o identificable (art. 4.1 RGPD). La imatge d'una persona entra de ple en aquesta definició, de manera que:
- La captació d'imatges
- La seva visualització en temps real
- El seu emmagatzematge
- I, especialment, la seva difusió
són operacions de tractament de dades personals (art. 4.2 RGPD).
Qui decideix instal·lar un sistema de càmeres, la seva ubicació i finalitat és el responsable del tractament, fins i tot tractant-se d'una persona física o d'un petit negoci.
La base jurídica i les finalitats legítimes
La normativa permet l'ús de càmeres, però no de qualsevol manera ni per a qualsevol finalitat.
L'article 22 de la LOPDGDD autoritza la videovigilància quan tingui per objecte:
- Preservar la seguretat de persones i béns
- Protegir instal·lacions
- I, en l'àmbit laboral, exercir funcions de control dins dels límits de l'article 20.3 de l'Estatut dels Treballadors
Però la legitimitat no converteix el sistema en il·limitat. Com recorda reiteradament l'AEPD, la licitud del tractament exigeix el respecte estricte dels principis del RGPD, molt especialment els principis de minimització, proporcionalitat, confidencialitat i transparència.
El principi de minimització: l'eix central de la videovigilància
L'article 5.1.c) RGPD estableix que les dades han de ser:
"adequades, pertinents i limitades al que és necessari en relació amb les finalitats per a les quals són tractades".
Aquest principi ha estat el nucli sancionador en tots dos expedients analitzats.
Gravació excessiva = infracció
En l'EXP202500203, l'AEPD adverteix una particular per instal·lar una càmera en un portal privat orientada cap a la via pública, arribant a captar imatges de tercers —inclosa una menor— sense causa que ho justifiqués. L'Agència recorda que:
- Els particulars no poden gravar espais públics
- La videovigilància de la via pública és competència exclusiva de les Forces i Cossos de Seguretat (LO 4/1997)
- Fins i tot una orientació incorrecta, encara que sigui parcial, vulnera el principi de minimització
En l'EXP202412270, relatiu a un restaurant, l'AEPD considera desproporcionada la captació continuada de zones de taules, barra i terrassa exterior, llocs d'oci on els clients romanen durant temps prolongat i on la intromissió en la intimitat resulta especialment intensa.
La conclusió és clara: que una càmera pugui servir per a una finalitat legítima no significa que tot el que grava sigui lícit.
Confidencialitat: quan la difusió agreuja la infracció
Un dels aspectes més rellevants del segon expedient és la vulneració de l'article 5.1.f) RGPD (integritat i confidencialitat).
L'AEPD sanciona la difusió d'una imatge captada per videovigilància a un grup de WhatsApp, aliè a qualsevol finalitat de seguretat o legal. Aquest fet suposa:
- Un accés no autoritzat
- Un ús incompatible amb la finalitat inicial
- I una pèrdua total de control sobre les dades
L'Agència recorda que la videovigilància no legitima la circulació informal d'imatges, ni tan sols entre professionals del mateix sector, i que els responsables han d'implantar mesures tècniques i organitzatives eficaces per impedir aquests usos.
Transparència i informació: no n'hi ha prou amb "posar un cartell després"
Un altre incompliment recurrent és la manca d'informació adequada.
El RGPD, desenvolupat per l'article 22.4 LOPDGDD, exigeix un sistema d'informació per capes, que es materialitza, com a mínim, en:
- Cartells visibles abans d'accedir a la zona videovigilada
- Identificació clara del responsable
- Indicació de l'exercici de drets
- I disponibilitat d'informació ampliada
En l'EXP202412270, encara que el responsable va aportar cartells i documents informatius, l'AEPD subratlla un principi fonamental:
La informació ha d'existir abans del tractament, no després de la inspecció.
Així mateix, en l'àmbit laboral, informar genèricament o de manera verbal no és suficient. Els treballadors han de conèixer què es grava, amb quina finalitat i amb quines conseqüències, i disposar de documentació clara.
Advertiment o multa: la reacció de l'AEPD
Les dues resolucions mostren una diferència rellevant en la resposta de l'AEPD:
- En l'EXP202500203, l'Agència opta per un advertiment, valorant la retirada immediata del sistema i l'eliminació de les imatges.
- En l'EXP202412270, la concurrència de diverses infraccions (minimització, confidencialitat i transparència) i la difusió indeguda d'imatges justifiquen una multa de 3.000 €, reduïda a 1.800 € per pagament immediat i reconeixement de responsabilitat.
El missatge és clar: la correcció voluntària mitiga la sanció, però no esborra la infracció, i no sempre evita una multa econòmica.
Conclusions pràctiques
De la normativa i de la doctrina de l'AEPD se'n poden extreure algunes regles essencials:
- ✅ La videovigilància és legal, però excepcional i limitada
- ✅ Gravar més del que cal constitueix infracció, encara que existeixi una finalitat legítima
- ✅ No es pot captar la via pública ni zones d'oci de manera permanent
- ✅ Les imatges mai no es poden difondre fora dels supòsits legalment previstos
- ✅ Informar correctament no és un tràmit formal, sinó una obligació essencial
- ✅ La responsabilitat recau sempre en qui decideix instal·lar i utilitzar les càmeres
