Instalar cámaras de seguridad implica tratar imágenes de personas que pueden ser identificadas. Por eso, además de elegir correctamente cámaras, grabador y almacenamiento, es necesario diseñar la instalación conforme al Reglamento General de Protección de Datos (RGPD), la Ley Orgánica 3/2018 (LOPDGDD) y los criterios de la Agencia Española de Protección de Datos (AEPD).
Esta guía resume los aspectos que debe conocer un instalador al preparar un sistema de videovigilancia. No sustituye el asesoramiento jurídico para casos complejos, pero ayuda a detectar los puntos que deben quedar resueltos antes de poner el sistema en servicio.
¿Quién es responsable de cumplir la normativa?
El responsable del tratamiento es, normalmente, la empresa, comunidad de propietarios, profesional o entidad que decide instalar las cámaras y determina para qué se utilizan las imágenes. El instalador diseña y configura el sistema, pero no debe asumir automáticamente las decisiones jurídicas que corresponden al cliente.
Si una empresa de seguridad, mantenedor o proveedor accede a las imágenes por cuenta del cliente, puede actuar como encargado del tratamiento. En ese supuesto debe existir el contrato correspondiente, con las condiciones exigidas por el RGPD. El acceso técnico remoto no debe habilitarse de forma indiscriminada.
Requisitos para instalar cámaras de seguridad
1. Definir una finalidad legítima
La finalidad habitual es proteger personas, bienes e instalaciones. Las imágenes no deben reutilizarse para propósitos incompatibles con el que justificó la instalación. Antes de colocar una cámara conviene documentar qué riesgo se quiere cubrir y qué debe verse en cada escena.
2. Aplicar proporcionalidad y minimización
Solo deben captarse las imágenes necesarias. Esto afecta al número de cámaras, su ubicación, el ángulo, la óptica, la resolución y las funciones activadas. Una cámara domo móvil o una óptica muy angular puede captar más espacio del necesario.
Cuando exista riesgo de grabar zonas ajenas, el instalador puede utilizar máscaras de privacidad, limitar el campo de visión o cambiar la ubicación. La guía oficial de videovigilancia de la AEPD recomienda valorar tanto la necesidad del sistema como la proporcionalidad de su diseño.
3. Limitar la captación de la vía pública
Como regla general, la captación de imágenes de la vía pública con fines de seguridad corresponde a las Fuerzas y Cuerpos de Seguridad. Una cámara privada solo puede captar la porción mínima imprescindible cuando resulte necesaria para proteger el acceso o sea imposible evitarla por la ubicación.
No es correcto utilizar la fachada de un negocio o una vivienda para vigilar de forma general una calle, una acera o propiedades vecinas. El encuadre debe comprobarse tanto de día como de noche y después de cualquier ajuste de zoom o posición.
4. Colocar el distintivo informativo
La zona videovigilada debe estar señalizada mediante un distintivo visible antes de acceder a ella. El cartel debe identificar, al menos, la existencia del tratamiento, la identidad del responsable o la forma de contactar con él y dónde obtener la información adicional sobre protección de datos.
El cartel no sustituye la información completa. El responsable debe disponer de una segunda capa informativa accesible, con la finalidad, base jurídica, destinatarios, conservación y forma de ejercer los derechos de protección de datos. Ya no se habla únicamente de los antiguos derechos ARCO, sino de los derechos reconocidos por el RGPD y la LOPDGDD.
5. Mantener un registro de la actividad de tratamiento
Desde la aplicación del RGPD desapareció la obligación de inscribir un fichero de videovigilancia en la AEPD. En su lugar, el responsable debe valorar e incorporar este tratamiento a su Registro de Actividades de Tratamiento cuando resulte exigible, además de aplicar las medidas de responsabilidad proactiva correspondientes.
¿Cuánto tiempo pueden conservarse las grabaciones?
El artículo 22 de la LOPDGDD establece que las imágenes deben suprimirse en el plazo máximo de un mes desde su captación. No significa que siempre deban conservarse treinta días: el responsable puede fijar un periodo inferior si resulta suficiente para la finalidad.
Cuando las imágenes acrediten hechos contra personas, bienes o instalaciones, deben ponerse a disposición de la autoridad competente dentro del plazo legal y conservarse de forma bloqueada cuando corresponda. No conviene exportar o conservar secuencias indefinidamente “por si acaso”.
Al dimensionar el almacenamiento, el instalador debe combinar el periodo definido por el responsable con el número de cámaras, resolución, imágenes por segundo, códec y tipo de grabación. Puedes ampliar estos criterios en nuestra guía para elegir cámaras de videovigilancia CCTV y consultar los discos para videovigilancia disponibles en Mercasat.
Quién puede acceder a las imágenes
El acceso debe limitarse a las personas autorizadas. Cada usuario debería disponer de credenciales individuales y únicamente de los permisos necesarios. Deben evitarse las cuentas compartidas, las contraseñas por defecto y el acceso permanente del instalador si no existe una necesidad contractual.
En sistemas con visualización remota conviene aplicar contraseñas robustas, doble factor cuando esté disponible, firmware actualizado, cifrado y plataformas oficiales del fabricante. También deben revisarse los usuarios antiguos cuando cambia el personal o finaliza un contrato de mantenimiento.
Videovigilancia en comunidades de propietarios
La instalación en zonas comunes requiere el acuerdo de la comunidad conforme a la normativa de propiedad horizontal. Las cámaras deben limitarse a las zonas comunes y no captar el interior de viviendas, terrazas privadas ni espacios ajenos. Si resulta imprescindible captar una pequeña parte de la vía pública en un acceso, debe reducirse al mínimo.
El acceso a las imágenes debe quedar restringido a las personas designadas. No es recomendable ofrecer a todos los vecinos una visualización general de cámaras y grabaciones. En garajes, portales y ascensores hay que estudiar con especial cuidado los encuadres y la información visible.
Cámaras para controlar a trabajadores
El empresario puede adoptar medidas de vigilancia y control dentro de los límites legales, pero debe informar previamente a los trabajadores de forma expresa, clara y concisa. La grabación no puede instalarse en vestuarios, aseos, comedores o zonas de descanso.
La grabación de sonido en el lugar de trabajo está sometida a condiciones mucho más restrictivas y solo puede justificarse cuando existan riesgos relevantes para la seguridad y se respeten los principios de proporcionalidad e intervención mínima. Por ello, el instalador no debería activar audio por defecto.
Checklist técnico y documental antes de entregar la instalación
- Confirmar quién es el responsable del tratamiento y cuál es la finalidad.
- Comprobar que cada cámara capta únicamente la zona necesaria.
- Aplicar máscaras de privacidad cuando sean necesarias.
- Verificar que no se captan viviendas, propiedades vecinas ni vía pública de forma excesiva.
- Instalar el distintivo informativo en un lugar visible.
- Confirmar que el cliente dispone de la información adicional de protección de datos.
- Definir el periodo de conservación y configurar correctamente el grabador.
- Crear usuarios individuales con permisos mínimos.
- Cambiar contraseñas por defecto y actualizar el firmware.
- Documentar los accesos remotos y el mantenimiento.
- Desactivar el audio si no existe una justificación específica.
- Entregar al cliente la configuración y las responsabilidades que debe gestionar.
Para preparar el sistema puedes consultar nuestras categorías de cámaras IP profesionales y grabadores XVR. La elección del equipo debe hacerse después de definir escenas, acceso, almacenamiento y obligaciones de protección de datos.
Errores frecuentes
- Creer que todavía hay que inscribir un fichero de videovigilancia en la AEPD.
- Apuntar una cámara a toda la calle para proteger únicamente una puerta.
- Activar audio sin analizar su necesidad y proporcionalidad.
- Conservar las imágenes indefinidamente.
- Compartir una sola contraseña entre todos los usuarios.
- Permitir al instalador acceso remoto permanente sin contrato ni control.
- Colocar el cartel, pero no disponer de la información adicional.
Preguntas frecuentes
¿Es obligatorio pedir consentimiento a todas las personas grabadas?
En la videovigilancia destinada a proteger personas, bienes e instalaciones, el tratamiento no se basa normalmente en recoger el consentimiento individual de cada persona. Sí deben cumplirse la base jurídica aplicable, el deber de información y el resto de principios del RGPD y la LOPDGDD.
¿Puede una cámara grabar la acera?
Solo puede captar la porción mínima imprescindible cuando sea necesaria para proteger el acceso o resulte imposible evitarla. No puede utilizarse un sistema privado para vigilar de manera general la vía pública.
¿Se pueden guardar las imágenes más de un mes?
Como regla general, deben suprimirse en un plazo máximo de un mes. Si las imágenes acreditan un incidente, deben conservarse y ponerse a disposición de la autoridad competente conforme al procedimiento aplicable.
¿Puede el instalador conectarse remotamente?
Sí, cuando exista una finalidad técnica legítima, autorización y, si procede, un contrato de encargado del tratamiento. El acceso debe limitarse, protegerse y quedar bajo el control del responsable.
Conclusión
Cumplir la normativa de videovigilancia no consiste solo en colocar un cartel. La privacidad debe integrarse desde el diseño: finalidad, encuadre, conservación, usuarios, acceso remoto y seguridad del sistema. Un instalador que revisa estos puntos reduce riesgos para el cliente y entrega una solución más profesional.
En Mercasat podemos ayudarte a seleccionar cámaras, grabadores y almacenamiento adecuados para cada instalación. Para cuestiones jurídicas específicas, el responsable debe consultar a su delegado de protección de datos o a un profesional especializado.
Contenido revisado con referencia a la guía de videovigilancia de la AEPD y a la normativa vigente en la fecha de actualización. Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.
