A videovixilancia é unha das ferramentas máis utilizadas polo comercio físico para protexer o local fronte a furtos, vandalismo e outros incidentes. É tamén unha das áreas onde a AEPD (Axencia Española de Protección de Datos) interveu con máis frecuencia: cámaras mal orientadas, conservación indefinida de gravacións, ausencia de cartelaría ou finalidades encubertas distintas da seguridade.
Esta guía recolle como unha tenda pode instalar e operar un sistema de videovixilancia con plenas garantías conforme ao RGPD (Regulamento UE 2016/679), ao art. 22 da LOPDGDD (Lei Orgánica española 3/2018) e aos criterios públicos da AEPD.
Finalidade lexítima: a base de todo o sistema
O primeiro requisito dun sistema de videovixilancia nun comercio é que a súa finalidade estea clara e delimitada. O art. 22 LOPDGDD habilita o tratamento de imaxes con finalidade de preservar a seguridade das persoas e bens, así como as súas instalacións. Esa é a finalidade típica dun comercio: protección fronte a furtos, roubos, danos ou agresións.
A base xurídica habitual é o interese lexítimo do responsable (art. 6.1.f RGPD), non o consentimento do cliente. Non se necesita pedir permiso a quen entra na tenda: chega con cumprir o deber de información mediante a cartelaría e a información ampliada dispoñible.
Finalidades distintas requiren bases distintas e, nalgúns casos, son directamente inadmisibles:
| Finalidade | Base xurídica | Viabilidade |
|---|---|---|
| Seguridade de persoas e bens | Interese lexítimo (6.1.f) + art. 22 LOPDGDD | Admitida con cartelaría |
| Control laboral do empregado | Art. 20.3 Estatuto dos Traballadores español + art. 89 LOPDGDD | Require información expresa ao traballador |
| Análise de comportamento de cliente (heatmap, conteo) | Interese lexítimo ou consentimento, segundo solución | Suxeita a análise e a información específica adicional |
| Gravación de audio en sala | Restricións severas | Só en supostos excepcionais e xustificados |
| Publicación en redes ou web do comercio | Consentimento expreso dos gravados | Inadmisible sen consentimento |
Zonas que si e zonas que non se poden enfocar
O criterio reitor é a minimización: o sistema só capta o estritamente necesario para a finalidade de seguridade. Na práctica:
- Zonas admitidas: accesos ao local, escaparates desde o interior, liña de caixas, corredores comerciais, zonas de exposición, almacén interno, peirao de carga propio, parking privado do comercio.
- Zonas prohibidas: aseos, vestiarios e zonas de descanso do persoal. A intimidade prevalece de forma absoluta.
- Vía pública: o comercio non pode gravar a rúa, agás a franxa imprescindible para vixiar o acceso ao establecemento. Non é admisible captar a beirarrúa completa, o paso de viandantes ou a fachada do comercio veciño.
- Locais lindeiros e portais: non se poden enfocar accesos alleos, escaparates de comercios continxentes nin vivendas veciñas. Cando tecnicamente sexa posible, úsanse máscaras de privacidade no software do sistema para anular esas zonas.
- Liña de caixa: admitida, pero recomendable orientación que capte a transacción e o espazo do cliente, sen enfocar o ollo de cámara directamente sobre o monitor do TPV ou o teclado onde se introducen códigos sensibles.
Cartelaría informativa e información ampliada
O deber de información (art. 13 RGPD) cúmprese en videovixilancia en dous niveis. En primeiro lugar, mediante o cartel informativo visible en cada acceso á zona videovixiada, conforme ao modelo orientativo publicado pola AEPD. Contido mínimo:
- Pictograma de cámara e mención "zona videovixiada".
- Identidade do responsable (nome comercial e CIF da tenda).
- Finalidade: seguridade.
- Base xurídica: interese lexítimo.
- Mención ao exercicio de dereitos e enderezo ou canle habilitada.
- Referencia á información ampliada (URL, mostrador, folleto).
En segundo lugar, a información ampliada con todos os elementos do art. 13 RGPD: identidade e contacto do responsable, no seu caso do DPD, finalidades e base xurídica detalladas, destinatarios (forzas e corpos de seguridade cando proceda), prazos de conservación, dereitos e vía para exercelos, e dereito a reclamar ante a AEPD. Esta información ponse a disposición de maneira real: cartel ampliado en mostrador, folleto, código QR a unha URL ou impresa a petición.
Prazo de conservación: un mes
O art. 22.3 LOPDGDD é taxativo: as imaxes consérvanse un máximo dun mes desde a súa captación. Só se poden conservar máis tempo cando deban acreditar a comisión de actos que atenten contra a integridade de persoas, bens ou instalacións, e nese caso as imaxes entréganse á autoridade competente nun prazo máximo de 72 horas desde o coñecemento do incidente.
Implicacións operativas:
- O DVR/NVR confiúrase con ciclo de sobrescritura automática que respecte o prazo dun mes.
- Non é admisible conservar gravacións "por se acaso" máis aló dese prazo.
- Cando ocorre un incidente, extráese o clip relevante, entrégase ás forzas e corpos de seguridade ou resérvase para o procedemento xudicial, e o resto segue o seu ciclo normal.
- As copias en USB ou discos externos relacionadas cun incidente concreto custódianse coa trazabilidade adecuada ata a resolución do procedemento.
"A videovixilancia nun comercio avalíase con tres preguntas moi concretas: que se enfoca, canto se conserva e quen accede. Se as tres respostas son razoables e están escritas, o sistema funciona con normalidade. Cando algunha das tres se decidiu por intuición do instalador, adoitan aparecer os problemas."
Mario P. Talamillo · Socio director, Certix®
Acceso ás gravacións e custodia
O acceso ao sistema debe estar restrinxido ás persoas con función directa de seguridade ou xestión: titular do comercio, responsable de tenda e, cando proceda, empresa de seguridade contratada. Non é admisible que o visor do DVR estea aberto en zona de oficina compartida, nin que calquera empregado poida revisar gravacións a vontade.
Boas prácticas:
- Contrasinal individual para cada usuario con acceso ao sistema.
- Rexistro de accesos (log de visualizacións e exportacións) cando o equipo o permita.
- Equipo fisicamente custodiado (sala ou armario pechado, non á vista do público).
- Se a empresa de seguridade ou o instalador acceden remotamente, contrato do art. 28 RGPD (encargado do tratamento) con todos os elementos do apartado 3.
- Revisión periódica de quen mantén acceso (baixas de persoal con permisos vixentes son unha causa común de incidencias).
Cámaras conectadas e provedor cloud
Cando o sistema de videovixilancia almacena na nube (cámaras IP con gravación en servizo do fabricante ou dun integrador), o provedor do servizo é encargado do tratamento e requírese contrato do art. 28 RGPD. Puntos a verificar:
- Ubicación dos servidores de almacenamento e, no seu caso, transferencia internacional con instrumento adecuado (Data Privacy Framework cando aplique, cláusulas contractuais tipo cando proceda).
- Medidas de seguridade do provedor (cifrado en tránsito e en repouso, control de acceso, auditorías).
- Procedemento de devolución das gravacións ao cesar o servizo, antes de calquera destrución.
- Configuración do período de retención conforme ao prazo legal dun mes.
- Subencargados notificados e autorizados.
Inscrición no RAT e documentación
O tratamento de videovixilancia debe constar no Rexistro de Actividades do Tratamento do comercio (art. 30 RGPD), coa súa finalidade, base xurídica, categorías de datos, destinatarios (forzas e corpos de seguridade cando proceda, autoridade xudicial), prazo de conservación e descrición xeral das medidas de seguridade.
Documentación habitual asociada:
- Plano do local con ubicación e orientación de cada cámara.
- Cartelaría entregada e instalada en cada acceso.
- Información ampliada dispoñible (texto do art. 13 RGPD).
- Contrato art. 28 RGPD co instalador/mantedor e co provedor cloud.
- Protocolo de xestión de incidentes (extracción de imaxes, entrega a autoridades, modelo de notificación de quebra se a houbese).
- Configuración documentada do período de retención do sistema.
Checklist mínimo de videovixilancia no comercio
- Finalidade declarada: seguridade de persoas, bens e instalacións.
- Cámaras orientadas a zonas admitidas; cero captación de vía pública ou locais lindeiros (agás franxa mínima imprescindible).
- Cartel informativo en cada acceso conforme ao modelo AEPD.
- Información ampliada do art. 13 RGPD dispoñible e accesible.
- Ciclo de sobrescritura do DVR/NVR configurado a un mes máximo.
- Acceso ao sistema con usuarios individuais e rexistro de visualizacións cando proceda.
- Contratos do art. 28 RGPD con instalador, mantedor e provedor cloud.
- Tratamento inscrito no RAT e protocolo de incidentes documentado.
- Se hai cámaras en zona de traballo, información expresa ao persoal (art. 89 LOPDGDD).
Preguntas frecuentes
Pode unha tenda instalar cámaras de videovixilancia sen pedir permiso á AEPD?
Si. Non se require autorización previa. Si se esixe cumprir o art. 22 LOPDGDD: finalidade de seguridade, zonas adecuadas, cartelaría, información ampliada, prazo máximo dun mes de conservación e rexistro do tratamento no RAT.
Onde pode e onde non pode unha tenda instalar cámaras?
Admítense accesos, escaparates desde o interior, liña de caixas, corredores, almacén e peiraos propios. Está prohibido en aseos, vestiarios e zonas de descanso. A vía pública só se capta na franxa imprescindible para vixiar o acceso. Non se poden enfocar locais lindeiros nin vivendas veciñas.
Canto tempo pode conservar o comercio as gravacións?
O prazo máximo é dun mes (art. 22.3 LOPDGDD). Se as imaxes deben acreditar un incidente, entréganse á autoridade competente en 72 horas desde o seu coñecemento. Non é admisible conservar gravacións máis aló do mes para outras finalidades.
Que cartelaría de videovixilancia debe poñer o comercio?
O cartel do modelo AEPD en cada acceso, con pictograma, identidade do responsable, finalidade, base xurídica, exercicio de dereitos e referencia á información ampliada. A información ampliada do art. 13 RGPD ponse a disposición en mostrador, folleto ou URL.
Este contido é meramente orientativo e divulgativo; non constitúe en ningún caso asesoramento xurídico especializado. A aplicación da normativa a cada caso concreto require análise individualizada. A normativa autonómica sectorial pode ampliar ou modificar prazos e requisitos.
Queres revisar a videovixilancia do teu comercio sen sustos?
En Certix asignámosche un experto en cumprimento do sector comercio. Sen intermediarios comerciais, sen modelos xenéricos.
Falar cun experto