Normativa y Legal
Videovigilancia en tu Negocio: Qué Dice la Ley (LOPD/RGPD) y Cómo Cumplirla
Índice de contenidos
Instalar cámaras de seguridad en un comercio, una oficina o una nave industrial es una de las decisiones más eficaces para reducir hurtos, disuadir intrusiones y proteger a tu equipo. Pero una cámara mal instalada, sin cartel informativo o que graba más de lo que le corresponde, puede convertir una medida de protección en un problema legal serio.
La normativa española sobre videovigilancia en el ámbito privado combina el Reglamento General de Protección de Datos (RGPD) europeo con la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que dedica artículos específicos a las cámaras de seguridad y a su uso en el entorno laboral. La Agencia Española de Protección de Datos (AEPD) es el organismo que vigila su cumplimiento y el que impone las sanciones cuando algo falla.
En este artículo te explicamos, con lenguaje claro y ejemplos prácticos, qué exige la ley a un negocio que quiere instalar sistemas de videovigilancia, dónde puedes grabar y dónde no, qué debe llevar el cartel, cuánto tiempo puedes conservar las grabaciones y cuáles son las sanciones más frecuentes que impone la AEPD a pymes y autónomos.
01. Marco legal aplicable: RGPD, LOPDGDD y guía sectorial de la AEPD
El punto de partida es el RGPD (Reglamento UE 2016/679), que se aplica a cualquier tratamiento de imágenes que permita identificar a una persona, incluidas las grabaciones de una cámara de seguridad. A nivel nacional, la LOPDGDD desarrolla ese marco con dos artículos clave para cualquier negocio: el artículo 22, sobre videovigilancia con fines de seguridad, y el artículo 89, sobre el uso de sistemas de cámaras para controlar a los trabajadores.
El artículo 22 LOPDGDD permite a los responsables de comercios, oficinas y otras instalaciones tratar imágenes captadas por cámaras con la finalidad de preservar la seguridad de personas, bienes e instalaciones, amparándose en el interés legítimo del responsable. Esto significa que, a diferencia de otros tratamientos de datos, normalmente no necesitas pedir el consentimiento expreso de cada persona que entra en tu local: basta con informar adecuadamente, algo que se materializa sobre todo a través del cartel informativo que veremos más adelante.
La guía de referencia de la AEPD
La Agencia Española de Protección de Datos publica una guía sectorial específica sobre videovigilancia, con criterios prácticos, modelos de cartel y ejemplos de casos frecuentes. Es la referencia técnica que utilizan la propia AEPD y los asesores en protección de datos para resolver dudas concretas. Puedes consultarla en la guía sectorial de videovigilancia de la AEPD.
A partir de este marco legal se derivan obligaciones muy concretas: dónde puedes apuntar las cámaras, qué información debes mostrar, cuánto tiempo puedes conservar las grabaciones y qué documentación debes tener preparada si la AEPD te pide cuentas. Vamos a repasarlas una por una, pensando siempre en el caso real de un negocio de Valencia que quiere protegerse sin exponerse a una sanción.
02. Dónde sí y dónde no puedes instalar cámaras en tu negocio
La ley permite grabar las zonas de tu negocio directamente vinculadas a la finalidad de seguridad: accesos, zona de caja, almacén, aparcamiento propio o fachada. Pero existen límites estrictos pensados para proteger la intimidad de clientes, empleados y terceros, y superarlos es una de las causas más frecuentes de sanción.
Sí puedes grabar
Entradas y salidas del local, zona de atención al público, caja, almacén, zonas de paso interiores, aparcamiento privado y la fachada del establecimiento, siempre limitando el encuadre a tu propiedad.
No puedes grabar
Aseos, vestuarios, zonas de descanso del personal, comedores de empleados, interiores de viviendas o negocios colindantes, y cualquier zona de la vía pública que no sea estrictamente inevitable para tu finalidad de seguridad.
Un error habitual es orientar una cámara exterior de forma que capte de manera amplia la acera, la calzada o el escaparate de un negocio vecino. La ley admite una captación mínima e inevitable de vía pública cuando resulta imprescindible para la seguridad del propio establecimiento, pero no una vigilancia general del entorno urbano. Si tienes dudas sobre el encuadre correcto, conviene revisar la instalación con un profesional: en nuestra guía sobre cómo elegir cámaras de seguridad para tu negocio explicamos también cómo planificar los ángulos de grabación sin invadir espacios que no te corresponden.
03. Cartel informativo: contenido obligatorio y dónde colocarlo
La transparencia es la piedra angular de la videovigilancia legal. El cartel informativo no es un simple gesto de cortesía: es una obligación legal derivada del deber de informar del RGPD, y su ausencia es una de las infracciones que la AEPD detecta y sanciona con mayor frecuencia en inspecciones a pymes.
Qué debe incluir el cartel
- Identificación del responsable del tratamiento: nombre o razón social del negocio y datos de contacto.
- Finalidad del tratamiento: normalmente, la referencia a fines de seguridad.
- Cómo ejercer derechos: indicación de dónde acudir (mostrador, web, correo) para obtener información ampliada sobre el tratamiento y ejercer los derechos de acceso, rectificación, supresión y demás derechos reconocidos por el RGPD.
Dónde colocarlo
El distintivo debe situarse en un lugar suficientemente visible, tanto en espacios exteriores como en el interior del local, de forma que cualquier persona pueda identificarlo antes de entrar en la zona videovigilada. En establecimientos con varios accesos, lo habitual es colocar un cartel en cada entrada y, si el sistema cubre distintas zonas del interior (por ejemplo, un almacén de acceso restringido), reforzar la señalización en esos puntos concretos.
Consejo práctico
Guarda una copia del modelo de cartel utilizado y una fotografía de su colocación real en el local. Si la AEPD abre una inspección, poder acreditar cuándo y cómo se cumplió con el deber de informar es tan importante como el propio cartel.
Revisa si tu instalación de cámaras cumple la normativa
En Cetyse Seguridad revisamos el encuadre, la señalización y la configuración de tu sistema de videovigilancia para que se ajuste al RGPD y la LOPDGDD.
04. Grabación de empleados: límites legales y jurisprudencia reciente
El artículo 89 LOPDGDD regula de forma específica el uso de cámaras para controlar el cumplimiento laboral. El principio general es claro: los trabajadores deben ser informados de forma expresa, clara y concisa de la existencia de las cámaras y de su finalidad, con carácter previo, y esa información debe alcanzar también, cuando exista, a la representación legal de la plantilla.
La ley contempla una excepción relevante: cuando existe una sospecha razonable de la comisión de un acto ilícito flagrante por parte de los trabajadores (por ejemplo, un hurto reiterado en caja), se admite prescindir de la información específica y previa, siempre que exista al menos el cartel informativo general que advierta de la existencia de cámaras en el centro de trabajo. Esta doctrina se apoya en la Sentencia del Tribunal Constitucional 39/2016, que consideró válida esa vigilancia encubierta bajo determinadas condiciones.
«El uso de la videovigilancia encubierta en el ámbito laboral debe superar un juicio de idoneidad, necesidad y proporcionalidad en sentido estricto: solo se justifica cuando no existe otra medida menos invasiva igualmente eficaz y su duración se limita a lo estrictamente necesario.»
La sentencia del Tribunal Europeo de Derechos Humanos en el caso López Ribalda matizó esta doctrina: aunque validó el uso de cámaras ocultas para detectar hurtos en un supermercado, exigió a los tribunales y a las empresas ponderar caso por caso la proporcionalidad de la medida, su duración, el número de personas afectadas y la existencia de alternativas menos invasivas. En la práctica, esto significa que la vigilancia encubierta de empleados debe reservarse a situaciones excepcionales, documentadas y de duración limitada, nunca como sistema habitual de control.
05. Plazo de conservación de las grabaciones
Uno de los aspectos donde más negocios incumplen sin darse cuenta es el plazo de conservación. La LOPDGDD fija como regla general un máximo de un mes desde la captura de las imágenes, salvo que deban conservarse para acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones, o en caso de infracción laboral. En esos supuestos, las imágenes deben quedar a disposición de la autoridad competente (policía, juzgado, inspección de trabajo) y conservarse únicamente el tiempo necesario para ese fin.
| Situación | Plazo aplicable |
|---|---|
| Grabaciones sin incidencia | Máximo 30 días desde la captura |
| Imágenes que acreditan un delito o infracción | Hasta ponerlas a disposición de la autoridad competente |
| Grabaciones ya entregadas a autoridad competente | Conservación según indique la autoridad |
| Grabaciones sin finalidad ni incidencia tras 30 días | Eliminación obligatoria automática |
La mayoría de grabadores digitales (DVR/NVR) actuales permiten configurar la sobrescritura automática de las grabaciones a los 30 días, lo que facilita cumplir con este plazo sin depender de que alguien lo borre manualmente. Si tu sistema no incorpora esta función, es un buen momento para plantearte una actualización, algo que también repercute en la calidad y fiabilidad de la videovigilancia para negocios que tienes instalada.
06. Registro de actividades de tratamiento: qué debes documentar
El artículo 30 del RGPD obliga a los responsables a mantener un Registro de Actividades de Tratamiento (RAT). Existe una excepción para empresas de menos de 250 empleados, pero esa excepción no aplica cuando el tratamiento puede suponer un riesgo para los derechos de las personas afectadas, y la videovigilancia se considera, con carácter general, uno de esos tratamientos. En la práctica, esto significa que prácticamente cualquier negocio con cámaras debe documentar su tratamiento, sea cual sea su tamaño.
- Identidad y datos de contacto del responsable del tratamiento (tu negocio).
- Finalidad del tratamiento (seguridad de personas, bienes e instalaciones).
- Descripción de las categorías de personas e imágenes tratadas.
- Plazo previsto de conservación de las grabaciones.
- Descripción general de las medidas técnicas y organizativas de seguridad aplicadas (control de acceso al grabador, cifrado, copias de seguridad, etc.).
- Identificación de posibles encargados del tratamiento, por ejemplo, la empresa instaladora o de mantenimiento que tiene acceso remoto al sistema.
Si contratas el mantenimiento o la monitorización de tus cámaras con un tercero, ese proveedor actúa como encargado del tratamiento y debe existir un contrato de encargo que regule sus obligaciones, conforme al artículo 28 del RGPD. Por eso es tan importante trabajar con una empresa de seguridad homologada, que conozca estas obligaciones y las incorpore de serie en su relación contractual contigo.
07. Sanciones más habituales de la AEPD en videovigilancia
Las infracciones que más sanciona la AEPD
Las resoluciones de la AEPD relacionadas con videovigilancia en pymes se repiten alrededor de unos mismos patrones: ausencia o insuficiencia del cartel informativo, cámaras orientadas hacia zonas prohibidas (vía pública en exceso, vestuarios, viviendas vecinas), conservación de grabaciones más allá de 30 días sin justificación, falta de contrato de encargo con la empresa de mantenimiento y ausencia de registro de actividades de tratamiento.
El régimen sancionador del RGPD, aplicado por la AEPD, distingue entre infracciones leves, graves y muy graves. Las infracciones más graves —como el tratamiento sin base legitimadora o la vulneración de principios básicos— pueden alcanzar hasta 20 millones de euros o el 4% de la facturación anual global, mientras que otras infracciones formales, como los incumplimientos del deber de informar, pueden alcanzar hasta 10 millones de euros o el 2% de la facturación. En la práctica, la AEPD gradúa la sanción atendiendo a la naturaleza, gravedad y duración de la infracción, el carácter intencional o negligente, el número de personas afectadas y la capacidad económica del responsable, por lo que las sanciones a pymes suelen ser muy inferiores a esos máximos, pero perfectamente capaces de suponer un golpe económico serio para un pequeño negocio.
Además de la cuantía económica, una sanción de la AEPD conlleva un procedimiento administrativo, la posible publicidad de la resolución y, en el caso de conflictos con empleados, el riesgo de que las grabaciones obtenidas de forma irregular sean declaradas prueba ilícita y no puedan utilizarse, por ejemplo, para justificar un despido disciplinario. Por eso, cumplir la normativa no es solo una cuestión de evitar la multa, sino de que tu sistema de seguridad realmente te proteja cuando lo necesites.
08. Checklist de cumplimiento para tu negocio
Antes de dar por buena tu instalación de videovigilancia, repasa estos puntos. Es la revisión que aplicamos en Cetyse Seguridad cuando auditamos un sistema ya instalado o diseñamos uno nuevo para un negocio de Valencia.
- Cartel informativo visible en todos los accesos, con identificación del responsable y referencia a los derechos de las personas.
- Encuadre de cámaras limitado a tu propiedad, sin captar vestuarios, aseos, viviendas o negocios vecinos.
- Captación de vía pública reducida al mínimo estrictamente inevitable, si existe.
- Plazo de conservación configurado en el grabador a un máximo de 30 días, salvo incidencia documentada.
- Información previa y expresa a los empleados sobre la existencia y finalidad de las cámaras.
- Registro de Actividades de Tratamiento actualizado y disponible para una eventual inspección.
- Contrato de encargo de tratamiento firmado con la empresa instaladora o de mantenimiento remoto.
- Acceso a las imágenes restringido mediante usuario y contraseña, con registro de quién consulta las grabaciones.
- Procedimiento definido para atender solicitudes de acceso, cesión a fuerzas de seguridad o borrado de imágenes.
Instalamos tu videovigilancia cumpliendo la ley desde el primer día
Diseñamos, instalamos y configuramos tu sistema de cámaras con el encuadre, la señalización y la retención de grabaciones ajustados al RGPD y la LOPDGDD.
09. Preguntas frecuentes
¿Puedo grabar a mis empleados con cámaras de videovigilancia?
Sí, siempre que sea con fines de seguridad, informes previamente a la plantilla mediante el cartel y la información específica correspondiente, y limites la grabación a zonas de trabajo, excluyendo aseos, vestuarios y zonas de descanso. Solo en casos de sospecha fundada de un delito flagrante contra el patrimonio se admite el uso de cámaras ocultas, de forma temporal, proporcional y conforme a la doctrina fijada por el Tribunal Constitucional y el Tribunal Europeo de Derechos Humanos.
¿Es obligatorio informar a los empleados de que hay cámaras?
Sí. El artículo 89 LOPDGDD exige informar a la plantilla, y en su caso a sus representantes legales, de forma previa, expresa y clara sobre la existencia de las cámaras, su finalidad y el responsable del tratamiento, salvo el supuesto excepcional de flagrancia delictiva, en el que puede bastar la información general ya visible mediante el cartel.
¿Cuánto tiempo puedo conservar las grabaciones de mi negocio?
Como norma general, un máximo de 30 días desde su captura. Si las imágenes acreditan la comisión de un delito o una infracción laboral, deben conservarse y ponerse a disposición de la autoridad competente el tiempo necesario para ese fin, y no más.
¿Necesito un delegado de protección de datos por tener cámaras?
En la mayoría de pymes y comercios, no. La obligación de designar un delegado de protección de datos se limita a determinados sectores (administraciones públicas, empresas de seguridad privada, entidades financieras, sanitarias, entre otros) o a tratamientos de monitorización sistemática a gran escala, algo poco habitual en un negocio con un número reducido de cámaras. Aun así, siempre es recomendable contar con asesoramiento especializado en protección de datos para tu caso concreto.
¿Puedo enfocar la cámara hacia la vía pública o hacia un negocio vecino?
Como regla general, no. Solo se admite captar una porción mínima e inevitable de vía pública cuando resulta imprescindible para la finalidad de seguridad de tu propio establecimiento, y en ningún caso puedes grabar el interior de una propiedad o negocio vecino sin su consentimiento expreso.
¿Qué sanción puedo recibir si incumplo la normativa de videovigilancia?
Depende de la gravedad de la infracción: desde un apercibimiento en infracciones leves y subsanables hasta multas de hasta 10 millones de euros o el 2% de la facturación anual en infracciones graves, y hasta 20 millones de euros o el 4% en las más graves. En la práctica, la AEPD gradúa la sanción según el tamaño, la intencionalidad y la capacidad económica del negocio infractor.