Respuesta rápida: Una empresa con cámaras debe definir la finalidad, registrar el tratamiento, colocar cartel visible, facilitar información ampliada, limitar encuadres y accesos, aplicar seguridad y suprimir imágenes en un máximo de un mes. Si graba a plantilla, debe informar expresamente y respetar proporcionalidad y zonas de intimidad.
La empresa es responsable de las imágenes
Cuando una empresa decide para qué y cómo se usan cámaras, actúa como responsable del tratamiento. La instaladora puede ser encargada si accede a imágenes por mantenimiento o gestión, pero no asume por ello todas las obligaciones del titular. El contrato debe separar instalación técnica, acceso remoto y servicios de seguridad.
La base habitual para videovigilancia de seguridad es el interés público reconocido por el artículo 22 de la Ley Orgánica 3/2018, dentro de los límites establecidos. Esto no convierte cualquier grabación en necesaria. Cada cámara debe proteger personas, bienes o instalaciones y captar solo lo imprescindible. El RGPD añade transparencia, minimización, conservación y seguridad.
Antes de instalar, crea o actualiza el registro de actividades: responsable, finalidad, personas afectadas, categorías de datos, destinatarios, plazo de supresión, medidas y posibles encargados. Para tratamientos de bajo riesgo, la herramienta Facilita_RGPD de la AEPD puede orientar, sin sustituir el análisis de casos complejos.
Cartel y segunda capa de información
El cartel de zona videovigilada debe ser visible antes de entrar en el área captada. Incluye la existencia del tratamiento, identidad del responsable y posibilidad de ejercer derechos. La AEPD facilita un modelo. No basta con una pegatina genérica que no identifica a la empresa.
La segunda capa desarrolla el artículo 13 del RGPD: contacto, finalidad, base, destinatarios, plazo, derechos y medio para ejercerlos. Puede estar en recepción, tablón, web o mediante código QR si sigue siendo accesible. No obligues a usar exclusivamente un teléfono o aplicación para informarse.
Si hay varias entradas, coloca avisos donde una persona pueda verlos. En una cámara temporal u obra, la obligación sigue existiendo. Revisa carteles cuando cambia la razón social, el correo o el proveedor; una instalación técnica correcta puede mantener información obsoleta durante años si nadie la incorpora al mantenimiento.
El máximo de un mes y sus excepciones
El artículo 22 de la LOPDGDD establece que las imágenes se suprimen en un plazo máximo de un mes desde su captación. “Máximo” no significa que siempre deban mantenerse treinta días: si la finalidad requiere menos y la capacidad lo permite, se configura un plazo menor. No se conserva “por si acaso” durante meses.
Cuando una grabación acredita actos contra personas, bienes o instalaciones, se conserva para ponerla a disposición de la autoridad competente y debe hacerse dentro del plazo legal. La copia se protege contra edición y accesos. El sistema puede seguir sobrescribiendo el resto. Documenta quién exportó, fecha, motivo, intervalo y destinatario.
El cálculo de almacenamiento debe respetar el plazo. Comprar más discos no autoriza a guardar más. Si una nube replica imágenes, la política de retención también debe eliminar copias. Verifica papelera, exportaciones automáticas y respaldos; la supresión debe alcanzar todo el flujo gestionado por la empresa.
Empleados, control laboral y zonas prohibidas
Las cámaras pueden utilizarse para control laboral dentro del artículo 89 de la LOPDGDD y el Estatuto de los Trabajadores, siempre con información previa, clara y proporcionalidad. Una instalación de seguridad no debe reutilizarse de forma encubierta para medir productividad. Si cambia la finalidad, hay que analizar y comunicar ese cambio.
No se instalan cámaras en vestuarios, aseos, comedores o zonas de descanso. Los encuadres evitan una vigilancia permanente de un puesto si la protección puede lograrse de otro modo. Se documenta por qué una cámara cubre caja, almacén o acceso y quién puede revisar una incidencia.
La información a la plantilla debe ser expresa. El cartel general no siempre basta para explicar control laboral. Informa también a representación legal cuando corresponda. La grabación de sonido es especialmente intrusiva y solo puede justificarse ante riesgos relevantes para la seguridad, respetando necesidad y proporcionalidad; GH la deja desactivada por defecto.
Vía pública, vecinos y áreas compartidas
Una cámara privada no puede vigilar la calle de forma general. Puede captar una franja mínima de acceso cuando sea imprescindible para protegerlo y no exista alternativa. Se ajustan óptica, posición y máscaras. Una función PTZ no debe permitir que usuarios recorran libremente fachadas o propiedades vecinas.
En comunidades, aparcamientos o edificios compartidos, el responsable y la aprobación deben estar claros. Una empresa arrendataria no debería grabar pasillos comunes por decisión unilateral sin analizar legitimación y coordinación. En locales, evita que una cámara interior refleje la calle en espejos o escaparates.
Las cámaras falsas no tratan datos, pero pueden generar conflictos si invaden visualmente espacios. Si se combinan con cámaras reales, la cartelería debe informar de estas últimas. Los videoporteros y lecturas de matrícula también tratan datos cuando identifican a personas o vehículos y requieren finalidad y seguridad.
Acceso, ciberseguridad y encargados
Cada persona autorizada debe tener usuario individual, contraseña robusta y, si existe, doble factor. Desactiva cuentas predeterminadas y perfiles de técnicos al terminar. Separa administración, visualización y exportación. No compartas vídeos por grupos de mensajería ni instales monitores visibles al público.
Las cámaras IP se sitúan en redes segmentadas, con firmware mantenido y acceso remoto seguro. Evita abrir puertos directos del router. Registra cambios y comprueba la hora. Un sistema con la fecha incorrecta puede perder valor probatorio y complicar una solicitud de acceso.
Si la instaladora, CRA, nube o mantenimiento acceden por cuenta del titular, analiza si son encargados y firma el contrato del artículo 28 RGPD. Identifica subencargados y ubicación de datos. El proveedor no debe reutilizar imágenes para mejorar productos o fines propios sin una base separada.
Derechos y entrega a policía o terceros
Una persona puede ejercer acceso, supresión, limitación u oposición dentro de lo aplicable. Para responder a acceso, localiza el intervalo sin revelar a terceros; puede ser necesario enmascarar otras personas o facilitar un certificado cuando la copia afecte derechos ajenos. Conserva identidad de quien solicita solo en la medida necesaria para tramitar.
Las fuerzas y cuerpos de seguridad pueden solicitar imágenes dentro de sus funciones. Verifica identificación, anota entrega y limita el intervalo. Ante un incidente reciente, bloquea la copia antes de que el grabador la sobrescriba. No publiques en redes para intentar identificar a alguien.
Si un vecino, aseguradora o persona particular pide grabaciones, no entregues automáticamente. Comprueba legitimación, finalidad y derechos de terceros. El asesor de protección de datos puede intervenir en solicitudes complejas. La instaladora no decide por el titular salvo encargo documentado.
Checklist de cumplimiento y mantenimiento
- Finalidad concreta por cámara.
- Registro de actividades actualizado.
- Carteles visibles con responsable real.
- Información ampliada accesible.
- Encuadres mínimos y máscaras revisadas.
- Audio desactivado salvo justificación excepcional.
- Retención configurada en máximo un mes.
- Usuarios individuales y doble factor.
- Contrato con encargados y nube.
- Procedimiento de exportación y derechos.
- Prueba de borrado, grabación y recuperación.
- Revisión tras obras o cambios de mobiliario.
GH puede entregar con la instalación de CCTV empresarial un kit inicial de cartel y fichas, configurar retención y permisos y documentar escenas. El titular completa sus datos, valida la base y mantiene el registro. No vendemos una pegatina como “RGPD incluido”.
Una revisión anual o después de cambios comprueba que las cámaras siguen apuntando donde deben, que no aparecieron nuevas zonas de descanso y que las cuentas antiguas fueron eliminadas. Privacidad y seguridad física se mantienen juntas.