Una empresa puede instalar videovigilancia amparándose en el interés legítimo, debe conservar las imágenes un máximo de 30 días, informar mediante carteles en cada acceso e inscribir el tratamiento en su Registro de Actividades de Tratamiento. No puede grabar la vía pública, función reservada a las Fuerzas y Cuerpos de Seguridad.
La videovigilancia es una de las áreas con más sanciones de la AEPD. No por la complejidad del tratamiento, sino por errores básicos: falta de cartelería, plazos de conservación desmesurados o cámaras orientadas a la calle. Esta guía resume qué puede grabar legalmente una empresa, con qué límites y qué documentación necesita tener al día.
Base legal del tratamiento
La base legal habitual es el interés legítimo del responsable (artículo 6.1.f del RGPD): proteger personas, instalaciones y bienes. Para tratamientos en el ámbito laboral, la LOPDGDD también admite el cumplimiento de una obligación legal o el control de la relación laboral, con condicionantes.
Plazo de conservación: 30 días
Las imágenes deben conservarse un máximo de 30 días, con una excepción: si recogen un posible delito y se ponen a disposición de las autoridades, ese material concreto se conserva hasta que termine el procedimiento. Pasados los 30 días, el resto debe borrarse de forma automática y verificable.
Deber de información: carteles y contenido
En cada acceso a la zona videovigilada debe haber un cartel informativo que incluya, como mínimo:
- Identidad del responsable del tratamiento.
- Finalidad (seguridad, control de accesos, etc.).
- Forma de ejercer los derechos del RGPD.
- Referencia a la información ampliada disponible (página web, mostrador, etc.).
Adicionalmente, el responsable debe disponer de la información ampliada y mantener el tratamiento inscrito en el Registro de Actividades de Tratamiento (RAT).
Control laboral y zonas prohibidas
La videovigilancia con fines de control laboral exige información previa a los trabajadores (o a sus representantes) y al comité de empresa. Está prohibido grabar:
- Vestuarios, taquillas y aseos.
- Zonas de descanso (comedor, salas de pausa).
- Espacios donde se espera una expectativa razonable de privacidad.
Las cámaras ocultas solo se admiten de forma excepcional, temporal y ante sospechas fundadas de un ilícito concreto, documentando proporcionalidad y necesidad.
Vía pública y principio de minimización
Las empresas no pueden grabar la vía pública; esa función corresponde a las Fuerzas y Cuerpos de Seguridad. Una cámara orientada a la calle debe ajustarse de modo que solo capte lo imprescindible de la entrada o el perímetro propio, aplicando máscaras de privacidad en lo que sobresalga.
Sanciones
Las multas del RGPD pueden alcanzar 20 M€ o el 4 % de la facturación anual mundial. La AEPD viene resolviendo expedientes por videovigilancia con cuantías significativas incluso para pymes, sobre todo por defectos de información, conservación o uso indebido en relaciones laborales.
Para diseñar el sistema correctamente desde el hardware al software, revisa nuestras guías sobre cómo elegir un VMS y cómo elegir hardware de videovigilancia. En Nexus diseñamos e integramos sistemas de videovigilancia profesional con cumplimiento RGPD desde el primer día.