Instalar cámaras de videovigilancia en un negocio es legal, pero no basta con colgar un cartel. En 2025 la videovigilancia fue la materia con más procedimientos sancionadores de la Agencia Española de Protección de Datos (AEPD): 81, por delante de los servicios de internet y de las brechas de seguridad. La mayoría de esos expedientes no nacen de grandes empresas, sino de comercios, bares, oficinas y comunidades de vecinos que graban más de lo que deben, no informan bien o guardan las imágenes demasiado tiempo.
En este artículo repasamos qué exige hoy la normativa, con la guía de videocámaras que la AEPD actualizó en febrero de 2025, y respondemos a las preguntas que más se repiten en Google.
En este artículo vamos a tratar...
¿Qué normas regulan las cámaras de videovigilancia?
Las imágenes de personas identificables son datos personales. Por eso se aplican el Reglamento General de Protección de Datos (RGPD) y, en concreto, dos artículos de la Ley Orgánica 3/2018 (LOPDGDD):
- Artículo 22: videovigilancia con fines de seguridad, plazo de conservación, vía pública y cartel informativo.
- Artículo 89: uso de cámaras para controlar a los trabajadores.
Además, la Guía sobre el uso de videocámaras para seguridad y otras finalidades de la AEPD recoge los criterios que aplica la Agencia cuando investiga una reclamación.
¿Puedo poner cámaras en mi negocio?
Sí. La seguridad de personas, bienes e instalaciones es una finalidad legítima. Sin embargo, la cámara debe ser proporcionada: grabar solo lo necesario para esa finalidad. En la práctica, esto significa:
- Enfocar accesos, cajas, almacenes o zonas de riesgo, no todo el local.
- No captar espacios de terceros, como el portal o el local del vecino.
- Limitar quién puede ver las imágenes y en qué casos.
Por otro lado, ya no hay que inscribir ningún fichero en la AEPD: esa obligación desapareció con el RGPD. Lo que sí debe existir es la actividad de tratamiento en el registro de la empresa, si está obligada a llevarlo.
¿Qué debe poner el cartel de videovigilancia?
Es la búsqueda más frecuente y la fuente de muchas sanciones. El cartel debe colocarse en un lugar suficientemente visible, antes de entrar en la zona grabada, e incluir como mínimo (art. 22.4 LOPDGDD):
- La existencia del tratamiento, es decir, que se está grabando.
- La identidad del responsable: el nombre de la empresa, no solo el de la empresa de seguridad.
- La posibilidad de ejercer los derechos de protección de datos.
El cartel puede incluir un código QR o un enlace al resto de la información. Ahora bien, no existe un «cartel homologado» obligatorio: la AEPD ofrece un modelo que se puede usar como referencia. Un cartel genérico de ferretería que solo dice «zona videovigilada» no cumple, porque no identifica al responsable.
¿Cuánto tiempo puedo guardar las grabaciones?
Como máximo, un mes desde que se graban (art. 22.3 LOPDGDD). Transcurrido ese plazo deben borrarse, salvo que acrediten un hecho que atente contra personas, bienes o instalaciones. En ese caso, hay que entregarlas a la autoridad competente en un plazo máximo de 72 horas desde que se conoce la existencia de la grabación.
Por tanto, conviene configurar el grabador para que sobrescriba automáticamente las imágenes antes de los 30 días. Además, si alguien pide una copia de sus imágenes, la respuesta debe proteger a las demás personas que aparecen en ellas.
¿Puede la cámara grabar la calle?
Como norma general, no. La vigilancia de la vía pública corresponde a las Fuerzas y Cuerpos de Seguridad. Una empresa o un particular solo puede captar la porción mínima de calle que resulte imprescindible para proteger su acceso, o la que sea imposible evitar por la ubicación de la cámara (art. 22.2 LOPDGDD).
Lo mismo ocurre con las cámaras domésticas y los videoporteros. Si solo graban el interior de la vivienda, quedan fuera del RGPD. En cambio, si enfocan la calle o la puerta del vecino, ya no son un uso doméstico y se aplican todas las obligaciones.
¿Puedo grabar a mis trabajadores?
Sí, para controlar el cumplimiento de sus obligaciones laborales (art. 20.3 del Estatuto de los Trabajadores), con tres condiciones del artículo 89 de la LOPDGDD:
- Información previa: hay que informar a los trabajadores y a sus representantes, de forma expresa, clara y concisa, de que las cámaras pueden usarse también para el control laboral.
- Zonas prohibidas: nunca en vestuarios, aseos, comedores o zonas de descanso.
- Audio, solo excepcionalmente: grabar sonido solo se admite cuando hay riesgos relevantes para la seguridad y respetando la proporcionalidad.
Si la cámara capta un acto ilícito flagrante de un trabajador, basta con el cartel informativo para poder usar la grabación. Aun así, las cámaras ocultas siguen siendo una excepción muy limitada que exige sospechas fundadas y un análisis caso por caso, como recordó el Tribunal Europeo de Derechos Humanos en el asunto López Ribalda.
¿Quién responde si la cámara la instaló una empresa de seguridad?
Su negocio. La empresa que instala o mantiene el sistema suele ser encargada del tratamiento, pero el responsable de lo que se graba, del cartel y de la conservación es quien decide poner las cámaras. Por eso conviene firmar con el instalador un contrato de encargado del tratamiento y saber quién tiene acceso remoto a las imágenes.
¿Y en una comunidad de vecinos?
Las cámaras en zonas comunes requieren acuerdo de la junta de propietarios. Además, se aplican las mismas reglas: cartel, plazo de un mes, mínima captación de la calle y acceso limitado, normalmente al presidente o a la empresa de mantenimiento.
¿Hace falta una evaluación de impacto?
No en un comercio normal. Sin embargo, puede ser necesaria cuando la videovigilancia supone una observación sistemática a gran escala de zonas de acceso público, o cuando se combina con reconocimiento facial u otros datos biométricos. Este último caso, además, tiene restricciones muy estrictas en el RGPD y en el Reglamento de Inteligencia Artificial.
¿Puede alguien pedirme una copia de las grabaciones?
Sí. Cualquier persona grabada puede ejercer su derecho de acceso y pedir las imágenes en las que aparece, dentro del plazo de conservación. La empresa debe responder en un mes, pero sin vulnerar los derechos de otras personas que aparezcan en la grabación. Por eso, en la práctica hay que pixelar a terceros o, si no es posible, ofrecer una descripción de lo que muestran las imágenes. Además, si la petición llega cuando ya se han borrado, basta con informar de que ya no existen.
Si las imágenes las pide la policía o un juzgado, se entregan a la autoridad que las requiere. En cambio, no deben entregarse a un vecino, a una aseguradora o a otro cliente que las solicite «para ver qué pasó» sin una base legal.
¿Y las cámaras de videovigilancia falsas o disuasorias?
Una cámara simulada no graba, así que no trata datos personales y la AEPD no la considera un tratamiento sujeto al RGPD. Sin embargo, si apunta a la vivienda o al negocio de un vecino, puede generar un conflicto por intromisión en la intimidad ante los tribunales civiles. Por tanto, conviene orientarla igual que una cámara real.
¿Puedo usar cámaras con reconocimiento facial o inteligencia artificial?
Aquí el margen es mínimo. El reconocimiento facial trata datos biométricos, una categoría especial que el artículo 9 del RGPD solo permite en supuestos muy tasados. De hecho, la AEPD sancionó a una gran cadena de supermercados con 2,52 millones de euros por usar reconocimiento facial en sus tiendas. Además, el Reglamento de Inteligencia Artificial prohíbe determinados usos biométricos y clasifica otros como de alto riesgo. En cambio, la analítica de vídeo sin identificar personas, como contar aforo, suele ser viable si se configura bien y se informa. Lo explicamos en abogados de inteligencia artificial.
¿Qué multa puede imponer la AEPD por las cámaras de videovigilancia?
Depende de la gravedad, del tamaño de la empresa y de si es la primera vez. En pymes y comercios, las sanciones por videovigilancia suelen moverse en importes de cientos o pocos miles de euros. Además, la ley permite reducirlas hasta un 40 % si se reconoce la responsabilidad y se paga voluntariamente (artículo 85 de la Ley 39/2015). Aun así, la AEPD también ordena corregir la instalación, y no hacerlo puede dar lugar a un nuevo expediente.
Errores con cámaras de videovigilancia que más sanciona la AEPD
- Cartel inexistente, mal colocado o sin identificar al responsable.
- Cámaras que graban la vía pública o propiedades ajenas.
- Conservar las imágenes más de un mes.
- No informar a los trabajadores antes de usar las imágenes para sancionarles.
- Cámaras en zonas de descanso o grabación de audio sin justificación.
- Difundir imágenes en redes sociales o grupos de mensajería.
Lista rápida para revisar sus cámaras de videovigilancia
- ¿Cada cámara tiene una finalidad clara y un encuadre proporcionado?
- ¿Hay un cartel visible con el nombre de la empresa y cómo ejercer los derechos?
- ¿El grabador borra las imágenes antes de un mes?
- ¿La plantilla y sus representantes están informados por escrito?
- ¿Hay contrato de encargado con la empresa instaladora o de mantenimiento?
- ¿Está la actividad en el registro de actividades de tratamiento?
Si alguna respuesta es «no», es mejor corregirlo antes de que llegue una reclamación. En Auratech revisamos sistemas de videovigilancia dentro de nuestra auditoría de protección de datos y, si somos su delegado de protección de datos, preparamos el cartel, la información a la plantilla y el procedimiento de conservación y acceso a las imágenes.
