La videovigilancia es una de las herramientas más utilizadas por el comercio físico para proteger el local frente a hurtos, vandalismo y otros incidentes. Es también una de las áreas donde la AEPD ha intervenido con más frecuencia: cámaras mal orientadas, conservación indefinida de grabaciones, ausencia de cartelería o finalidades encubiertas distintas de la seguridad.
Esta guía recoge cómo una tienda puede instalar y operar un sistema de videovigilancia con plenas garantías conforme al RGPD (Reglamento UE 2016/679), al art. 22 de la LOPDGDD (Ley Orgánica 3/2018) y a los criterios públicos de la Agencia Española de Protección de Datos.
Finalidad legítima: la base de todo el sistema
El primer requisito de un sistema de videovigilancia en un comercio es que su finalidad esté clara y delimitada. El art. 22 LOPDGDD habilita el tratamiento de imágenes con finalidad de preservar la seguridad de las personas y bienes, así como sus instalaciones. Esa es la finalidad típica de un comercio: protección frente a hurtos, robos, daños o agresiones.
La base jurídica habitual es el interés legítimo del responsable (art. 6.1.f RGPD), no el consentimiento del cliente. No se necesita pedir permiso a quien entra en la tienda: basta con cumplir el deber de información mediante la cartelería y la información ampliada disponible.
Finalidades distintas requieren bases distintas y, en algunos casos, son directamente inadmisibles:
| Finalidad | Base jurídica | Viabilidad |
|---|---|---|
| Seguridad de personas y bienes | Interés legítimo (6.1.f) + art. 22 LOPDGDD | Admitida con cartelería |
| Control laboral del empleado | Art. 20.3 ET + art. 89 LOPDGDD | Requiere información expresa al trabajador |
| Análisis de comportamiento de cliente (heatmap, conteo) | Interés legítimo o consentimiento, según solución | Sujeta a análisis y a información específica adicional |
| Grabación de audio en sala | Restricciones severas | Solo en supuestos excepcionales y justificados |
| Publicación en redes o web del comercio | Consentimiento expreso de los grabados | Inadmisible sin consentimiento |
Zonas que sí y zonas que no se pueden enfocar
El criterio rector es la minimización: el sistema solo capta lo estrictamente necesario para la finalidad de seguridad. En la práctica:
- Zonas admitidas: accesos al local, escaparates desde el interior, línea de cajas, pasillos comerciales, zonas de exposición, almacén interno, muelle de carga propio, parking privado del comercio.
- Zonas prohibidas: aseos, vestuarios y zonas de descanso del personal. La intimidad prevalece de forma absoluta.
- Vía pública: el comercio no puede grabar la calle, salvo la franja imprescindible para vigilar el acceso al establecimiento. No es admisible captar la acera completa, el paso de viandantes o la fachada del comercio vecino.
- Locales colindantes y portales: no se pueden enfocar accesos ajenos, escaparates de comercios contiguos ni viviendas vecinas. Cuando técnicamente sea posible, se usan máscaras de privacidad en el software del sistema para anular esas zonas.
- Línea de caja: admitida, pero recomendable orientación que capte la transacción y el espacio del cliente, sin enfocar el ojo de cámara directamente sobre el monitor del TPV o el teclado donde se introducen códigos sensibles.
Cartelería informativa y información ampliada
El deber de información (art. 13 RGPD) se cumple en videovigilancia en dos niveles. En primer lugar, mediante el cartel informativo visible en cada acceso a la zona videovigilada, conforme al modelo orientativo publicado por la AEPD. Contenido mínimo:
- Pictograma de cámara y mención "zona videovigilada".
- Identidad del responsable (nombre comercial y CIF de la tienda).
- Finalidad: seguridad.
- Base jurídica: interés legítimo.
- Mención al ejercicio de derechos y dirección o canal habilitado.
- Referencia a la información ampliada (URL, mostrador, folleto).
En segundo lugar, la información ampliada con todos los elementos del art. 13 RGPD: identidad y contacto del responsable, en su caso del DPD, finalidades y base jurídica detalladas, destinatarios (fuerzas y cuerpos de seguridad cuando proceda), plazos de conservación, derechos y vía para ejercerlos, y derecho a reclamar ante la AEPD. Esta información se pone a disposición de manera real: cartel ampliado en mostrador, folleto, código QR a una URL o impresa a petición.
Plazo de conservación: un mes
El art. 22.3 LOPDGDD es taxativo: las imágenes se conservan un máximo de un mes desde su captación. Solo se pueden conservar más tiempo cuando deban acreditar la comisión de actos que atenten contra la integridad de personas, bienes o instalaciones, y en ese caso las imágenes se entregan a la autoridad competente en un plazo máximo de 72 horas desde el conocimiento del incidente.
Implicaciones operativas:
- El DVR/NVR se configura con ciclo de sobreescritura automática que respete el plazo de un mes.
- No es admisible conservar grabaciones "por si acaso" más allá de ese plazo.
- Cuando ocurre un incidente, se extrae el clip relevante, se entrega a las fuerzas y cuerpos de seguridad o se reserva para el procedimiento judicial, y el resto sigue su ciclo normal.
- Las copias en USB o discos externos relacionadas con un incidente concreto se custodian con la trazabilidad adecuada hasta la resolución del procedimiento.
"La videovigilancia en un comercio se evalúa con tres preguntas muy concretas: qué se enfoca, cuánto se conserva y quién accede. Si las tres respuestas son razonables y están escritas, el sistema funciona con normalidad. Cuando alguna de las tres se ha decidido por intuición del instalador, suelen aparecer los problemas."
Mario P. Talamillo · Socio director, Certix®
Acceso a las grabaciones y custodia
El acceso al sistema debe estar restringido a las personas con función directa de seguridad o gestión: titular del comercio, responsable de tienda y, cuando proceda, empresa de seguridad contratada. No es admisible que el visor del DVR esté abierto en zona de oficina compartida, ni que cualquier empleado pueda revisar grabaciones a voluntad.
Buenas prácticas:
- Contraseña individual para cada usuario con acceso al sistema.
- Registro de accesos (log de visualizaciones y exportaciones) cuando el equipo lo permita.
- Equipo físicamente custodiado (sala o armario cerrado, no a la vista del público).
- Si la empresa de seguridad o el instalador acceden remotamente, contrato del art. 28 RGPD (encargado del tratamiento) con todos los elementos del apartado 3.
- Revisión periódica de quién mantiene acceso (bajas de personal con permisos vigentes son una causa común de incidencias).
Cámaras conectadas y proveedor cloud
Cuando el sistema de videovigilancia almacena en la nube (cámaras IP con grabación en servicio del fabricante o de un integrador), el proveedor del servicio es encargado del tratamiento y se requiere contrato del art. 28 RGPD. Puntos a verificar:
- Ubicación de los servidores de almacenamiento y, en su caso, transferencia internacional con instrumento adecuado (Data Privacy Framework cuando aplique, cláusulas contractuales tipo cuando proceda).
- Medidas de seguridad del proveedor (cifrado en tránsito y en reposo, control de acceso, auditorías).
- Procedimiento de devolución de las grabaciones al cesar el servicio, antes de cualquier destrucción.
- Configuración del periodo de retención conforme al plazo legal de un mes.
- Subencargados notificados y autorizados.
Inscripción en el RAT y documentación
El tratamiento de videovigilancia debe constar en el Registro de Actividades del Tratamiento del comercio (art. 30 RGPD), con su finalidad, base jurídica, categorías de datos, destinatarios (fuerzas y cuerpos de seguridad cuando proceda, autoridad judicial), plazo de conservación y descripción general de las medidas de seguridad.
Documentación habitual asociada:
- Plano del local con ubicación y orientación de cada cámara.
- Cartelería entregada e instalada en cada acceso.
- Información ampliada disponible (texto del art. 13 RGPD).
- Contrato art. 28 RGPD con el instalador/mantenedor y con el proveedor cloud.
- Protocolo de gestión de incidentes (extracción de imágenes, entrega a autoridades, plantilla de notificación de brecha si la hubiera).
- Configuración documentada del periodo de retención del sistema.
Checklist mínimo de videovigilancia en el comercio
- Finalidad declarada: seguridad de personas, bienes e instalaciones.
- Cámaras orientadas a zonas admitidas; cero captación de vía pública o locales colindantes (salvo franja mínima imprescindible).
- Cartel informativo en cada acceso conforme al modelo AEPD.
- Información ampliada del art. 13 RGPD disponible y accesible.
- Ciclo de sobreescritura del DVR/NVR configurado a un mes máximo.
- Acceso al sistema con usuarios individuales y registro de visualizaciones cuando proceda.
- Contratos del art. 28 RGPD con instalador, mantenedor y proveedor cloud.
- Tratamiento inscrito en el RAT y protocolo de incidentes documentado.
- Si hay cámaras en zona de trabajo, información expresa al personal (art. 89 LOPDGDD).
Preguntas frecuentes
¿Puede una tienda instalar cámaras de videovigilancia sin pedir permiso a la AEPD?
Sí. No se requiere autorización previa. Sí se exige cumplir el art. 22 LOPDGDD: finalidad de seguridad, zonas adecuadas, cartelería, información ampliada, plazo máximo de un mes de conservación y registro del tratamiento en el RAT.
¿Dónde puede y dónde no puede una tienda instalar cámaras?
Se admiten accesos, escaparates desde el interior, línea de cajas, pasillos, almacén y muelles propios. Está prohibido en aseos, vestuarios y zonas de descanso. La vía pública solo se capta en la franja imprescindible para vigilar el acceso. No se pueden enfocar locales colindantes ni viviendas vecinas.
¿Cuánto tiempo puede conservar el comercio las grabaciones?
El plazo máximo es de un mes (art. 22.3 LOPDGDD). Si las imágenes deben acreditar un incidente, se entregan a la autoridad competente en 72 horas desde su conocimiento. No es admisible conservar grabaciones más allá del mes para otras finalidades.
¿Qué cartelería de videovigilancia debe poner el comercio?
El cartel del modelo AEPD en cada acceso, con pictograma, identidad del responsable, finalidad, base jurídica, ejercicio de derechos y referencia a la información ampliada. La información ampliada del art. 13 RGPD se pone a disposición en mostrador, folleto o URL.
Este contenido es meramente orientativo y divulgativo; no constituye en ningún caso asesoramiento jurídico especializado. La aplicación de la normativa a cada caso concreto requiere análisis individualizado. La normativa autonómica sectorial puede ampliar o modificar plazos y requisitos.
¿Quieres revisar la videovigilancia de tu comercio sin sustos?
En Certix te asignamos un experto en cumplimiento del sector comercio. Sin intermediarios comerciales, sin plantillas genéricas.
Hablar con un experto