La videovigilància és una de les eines més utilitzades pel comerç físic per protegir el local davant furts, vandalisme i altres incidents. És també una de les àrees on l'AEPD (Agència Espanyola de Protecció de Dades) ha intervingut amb més freqüència: càmeres mal orientades, conservació indefinida de gravacions, absència de cartelleria o finalitats encobertes distintes de la seguretat.
Aquesta guia recull com una botiga pot instal·lar i operar un sistema de videovigilància amb plenes garanties conforme al RGPD (Reglament UE 2016/679), a l'art. 22 de la LOPDGDD (Llei Orgànica 3/2018) i als criteris públics de l'Agència Espanyola de Protecció de Dades.
Finalitat legítima: la base de tot el sistema
El primer requisit d'un sistema de videovigilància en un comerç és que la seva finalitat estigui clara i delimitada. L'art. 22 LOPDGDD habilita el tractament d'imatges amb finalitat de preservar la seguretat de les persones i béns, així com les seves instal·lacions. Aquesta és la finalitat típica d'un comerç: protecció davant furts, robatoris, danys o agressions.
La base jurídica habitual és l'interès legítim del responsable (art. 6.1.f RGPD), no el consentiment del client. No cal demanar permís a qui entra a la botiga: només cal complir el deure d'informació mitjançant la cartelleria i la informació ampliada disponible.
Finalitats distintes requereixen bases distintes i, en alguns casos, són directament inadmissibles:
| Finalitat | Base jurídica | Viabilitat |
|---|---|---|
| Seguretat de persones i béns | Interès legítim (6.1.f) + art. 22 LOPDGDD | Admesa amb cartelleria |
| Control laboral del treballador | Art. 20.3 Estatut dels Treballadors espanyol + art. 89 LOPDGDD | Requereix informació expressa al treballador |
| Anàlisi de comportament de client (heatmap, recompte) | Interès legítim o consentiment, segons solució | Subjecta a anàlisi i a informació específica addicional |
| Gravació d'àudio en sala | Restriccions severes | Només en supòsits excepcionals i justificats |
| Publicació a xarxes o web del comerç | Consentiment exprés dels gravats | Inadmissible sense consentiment |
Zones que sí i zones que no es poden enfocar
El criteri rector és la minimització: el sistema només capta el estrictament necessari per a la finalitat de seguretat. A la pràctica:
- Zones admeses: accessos al local, aparadors des de l'interior, línia de caixes, passadissos comercials, zones d'exposició, magatzem intern, moll de càrrega propi, aparcament privat del comerç.
- Zones prohibides: lavabos, vestidors i zones de descans del personal. La intimitat preval de forma absoluta.
- Via pública: el comerç no pot gravar el carrer, llevat de la franja imprescindible per vigilar l'accés a l'establiment. No és admissible captar la vorera completa, el pas de vianants o la façana del comerç veí.
- Locals confrontants i portals: no es poden enfocar accessos aliens, aparadors de comerços contigus ni habitatges veïns. Quan tècnicament sigui possible, s'usen màscares de privacitat al programari del sistema per anul·lar aquestes zones.
- Línia de caixa: admesa, però recomanable orientació que capti la transacció i l'espai del client, sense enfocar l'objectiu de càmera directament sobre el monitor del TPV o el teclat on s'introdueixen codis sensibles.
Cartelleria informativa i informació ampliada
El deure d'informació (art. 13 RGPD) es compleix en videovigilància en dos nivells. En primer lloc, mitjançant el cartell informatiu visible a cada accés a la zona videovigilada, conforme al model orientatiu publicat per l'AEPD. Contingut mínim:
- Pictograma de càmera i menció "zona videovigilada".
- Identitat del responsable (nom comercial i CIF de la botiga).
- Finalitat: seguretat.
- Base jurídica: interès legítim.
- Menció a l'exercici de drets i adreça o canal habilitat.
- Referència a la informació ampliada (URL, taulell, fullet).
En segon lloc, la informació ampliada amb tots els elements de l'art. 13 RGPD: identitat i contacte del responsable, si escau del DPD, finalitats i base jurídica detallades, destinataris (forces i cossos de seguretat quan escaigui), terminis de conservació, drets i via per exercir-los, i dret a reclamar davant l'AEPD. Aquesta informació es posa a disposició de manera real: cartell ampliat a taulell, fullet, codi QR a una URL o impresa a petició.
Termini de conservació: un mes
L'art. 22.3 LOPDGDD és taxatiu: les imatges es conserven un màxim d'un mes des de la seva captació. Només es poden conservar més temps quan hagin d'acreditar la comissió d'actes que atemptin contra la integritat de persones, béns o instal·lacions, i en aquest cas les imatges es lliuren a l'autoritat competent en un termini màxim de 72 hores des del coneixement de l'incident.
Implicacions operatives:
- El DVR/NVR es configura amb cicle de sobreescriptura automàtica que respecti el termini d'un mes.
- No és admissible conservar gravacions "per si de cas" més enllà d'aquest termini.
- Quan passa un incident, s'extreu el clip rellevant, es lliura a les forces i cossos de seguretat o es reserva per al procediment judicial, i la resta segueix el seu cicle normal.
- Les còpies en USB o discos externs relacionades amb un incident concret es custodien amb la traçabilitat adequada fins a la resolució del procediment.
"La videovigilància en un comerç s'avalua amb tres preguntes molt concretes: què s'enfoca, quant es conserva i qui hi accedeix. Si les tres respostes són raonables i estan escrites, el sistema funciona amb normalitat. Quan alguna de les tres s'ha decidit per intuïció de l'instal·lador, solen aparèixer els problemes."
Mario P. Talamillo · Soci director, Certix®
Accés a les gravacions i custòdia
L'accés al sistema ha d'estar restringit a les persones amb funció directa de seguretat o gestió: titular del comerç, responsable de botiga i, quan escaigui, empresa de seguretat contractada. No és admissible que el visor del DVR estigui obert en zona d'oficina compartida, ni que qualsevol empleat pugui revisar gravacions a voluntat.
Bones pràctiques:
- Contrasenya individual per a cada usuari amb accés al sistema.
- Registre d'accessos (log de visualitzacions i exportacions) quan l'equip ho permeti.
- Equip físicament custodiat (sala o armari tancat, no a la vista del públic).
- Si l'empresa de seguretat o l'instal·lador accedeixen remotament, contracte de l'art. 28 RGPD (encarregat del tractament) amb tots els elements de l'apartat 3.
- Revisió periòdica de qui manté accés (baixes de personal amb permisos vigents són una causa comuna d'incidències).
Càmeres connectades i proveïdor cloud
Quan el sistema de videovigilància emmagatzema al núvol (càmeres IP amb gravació al servei del fabricant o d'un integrador), el proveïdor del servei és encarregat del tractament i es requereix contracte de l'art. 28 RGPD. Punts a verificar:
- Ubicació dels servidors d'emmagatzematge i, si escau, transferència internacional amb instrument adequat (Data Privacy Framework quan apliqui, clàusules contractuals tipus quan escaigui).
- Mesures de seguretat del proveïdor (xifrat en trànsit i en repòs, control d'accés, auditories).
- Procediment de devolució de les gravacions en cessar el servei, abans de qualsevol destrucció.
- Configuració del període de retenció conforme al termini legal d'un mes.
- Subencarregats notificats i autoritzats.
Inscripció al RAT i documentació
El tractament de videovigilància ha de constar al Registre d'Activitats del Tractament del comerç (art. 30 RGPD), amb la seva finalitat, base jurídica, categories de dades, destinataris (forces i cossos de seguretat quan escaigui, autoritat judicial), termini de conservació i descripció general de les mesures de seguretat.
Documentació habitual associada:
- Plànol del local amb ubicació i orientació de cada càmera.
- Cartelleria lliurada i instal·lada a cada accés.
- Informació ampliada disponible (text de l'art. 13 RGPD).
- Contracte art. 28 RGPD amb l'instal·lador/mantenidor i amb el proveïdor cloud.
- Protocol de gestió d'incidents (extracció d'imatges, lliurament a autoritats, plantilla de notificació de bretxa si n'hi hagués).
- Configuració documentada del període de retenció del sistema.
Checklist mínim de videovigilància al comerç
- Finalitat declarada: seguretat de persones, béns i instal·lacions.
- Càmeres orientades a zones admeses; zero captació de via pública o locals confrontants (excepte franja mínima imprescindible).
- Cartell informatiu a cada accés conforme al model AEPD.
- Informació ampliada de l'art. 13 RGPD disponible i accessible.
- Cicle de sobreescriptura del DVR/NVR configurat a un mes màxim.
- Accés al sistema amb usuaris individuals i registre de visualitzacions quan escaigui.
- Contractes de l'art. 28 RGPD amb instal·lador, mantenidor i proveïdor cloud.
- Tractament inscrit al RAT i protocol d'incidents documentat.
- Si hi ha càmeres en zona de treball, informació expressa al personal (art. 89 LOPDGDD).
Preguntes freqüents
Pot una botiga instal·lar càmeres de videovigilància sense demanar permís a l'AEPD?
Sí. No es requereix autorització prèvia. Sí s'exigeix complir l'art. 22 LOPDGDD: finalitat de seguretat, zones adequades, cartelleria, informació ampliada, termini màxim d'un mes de conservació i registre del tractament al RAT.
On pot i on no pot una botiga instal·lar càmeres?
S'admeten accessos, aparadors des de l'interior, línia de caixes, passadissos, magatzem i molls propis. Està prohibit en lavabos, vestidors i zones de descans. La via pública només es capta a la franja imprescindible per vigilar l'accés. No es poden enfocar locals confrontants ni habitatges veïns.
Quant temps pot conservar el comerç les gravacions?
El termini màxim és d'un mes (art. 22.3 LOPDGDD). Si les imatges han d'acreditar un incident, es lliuren a l'autoritat competent en 72 hores des del seu coneixement. No és admissible conservar gravacions més enllà del mes per a altres finalitats.
Quina cartelleria de videovigilància ha de posar el comerç?
El cartell del model AEPD a cada accés, amb pictograma, identitat del responsable, finalitat, base jurídica, exercici de drets i referència a la informació ampliada. La informació ampliada de l'art. 13 RGPD es posa a disposició a taulell, fullet o URL.
Aquest contingut és merament orientatiu i divulgatiu; no constitueix en cap cas assessorament jurídic especialitzat. L'aplicació de la normativa a cada cas concret requereix anàlisi individualitzada. La normativa autonòmica sectorial pot ampliar o modificar terminis i requisits.
Vols revisar la videovigilància del teu comerç sense ensurts?
A Certix t'assignem un expert en compliment del sector comerç. Sense intermediaris comercials, sense plantilles genèriques.
Parlar amb un expert