Cámaras de videovigilancia en tu negocio: qué exige la protección de datos

Instalar cámaras de seguridad en una tienda, un bar, una nave o una oficina es hoy sencillo y barato. Lo que muchos negocios pasan por alto es que la imagen de una persona es un dato personal, y que desde el momento en que la cámara graba a clientes, proveedores o empleados, la empresa pasa a ser responsable de un tratamiento de datos sujeto al Reglamento General de Protección de Datos (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).

La buena noticia es que las obligaciones son concretas y asumibles para cualquier pyme o comercio del Corredor del Henares. En este artículo repasamos qué exige la normativa, según el texto legal y los criterios publicados por la Agencia Española de Protección de Datos (AEPD), y cuáles son los fallos que vemos con más frecuencia.

Qué permite la ley y con qué finalidad

El artículo 22 de la LOPDGDD permite a personas físicas y jurídicas captar imágenes mediante cámaras con la finalidad de preservar la seguridad de las personas, los bienes y las instalaciones. Esa finalidad marca el límite: las cámaras deben servir para eso y captar solo lo necesario.

En la práctica, y siguiendo la ficha de la AEPD sobre cámaras en establecimientos públicos, esto se traduce en:

• Grabar el interior del establecimiento, no los espacios ajenos: no deben captarse terrenos, viviendas colindantes ni otros locales.
• Vía pública, solo lo imprescindible: la AEPD admite únicamente una franja mínima de los accesos al local.
• Cámaras orientables: deben configurarse con máscaras de privacidad para que no capten zonas que no corresponden.

Las cuatro obligaciones básicas

Antes de poner el sistema en marcha, conviene tener resueltos estos cuatro puntos:

• Registro de actividades de tratamiento. La videovigilancia debe figurar en el registro interno de tratamientos de la empresa. No se envía a la AEPD, pero hay que tenerlo elaborado y actualizado.
• Cartel informativo en lugar visible. Al menos un cartel que avise de que la zona está videovigilada y que identifique al responsable del tratamiento, indique cómo ejercer los derechos de protección de datos y dónde obtener más información. Además, el resto de la información que exige el RGPD debe estar a disposición de quien la pida.
• Conservación máxima de un mes. Las imágenes deben suprimirse en el plazo máximo de un mes desde su captación. La excepción es que deban conservarse para acreditar hechos que atenten contra personas, bienes o instalaciones; en ese caso, la ley obliga a ponerlas a disposición de la autoridad competente en un máximo de 72 horas desde que se conoce la existencia de la grabación.
• Acceso restringido y seguro. Solo las personas autorizadas deben poder ver las imágenes. El grabador debe estar en un lugar vigilado o de acceso restringido y, si el sistema se consulta por Internet o desde el móvil, hay que cambiar la contraseña que viene de fábrica por una robusta y conocida solo por quien deba usarla.

Si las cámaras también graban a tu plantilla

En casi todos los negocios las cámaras captan a los empleados. El artículo 89 de la LOPDGDD permite al empresario tratar esas imágenes para el ejercicio de sus funciones de control, pero con una condición: informar previamente a los trabajadores de la existencia del sistema.

Además, la guía de videovigilancia de la AEPD advierte de que hay espacios donde el uso de cámaras puede resultar desproporcionado, como vestuarios, taquillas y zonas de descanso del personal. Si tienes dudas sobre la ubicación de una cámara, es mejor resolverlas antes de instalarla que después de recibir una reclamación.

Errores habituales en comercios y pymes

• Cartel genérico o incompleto: el típico adhesivo comprado en una ferretería, sin el nombre del responsable ni la forma de ejercer los derechos.
• Grabaciones que se guardan meses porque nadie configuró el borrado automático del grabador.
• Cámara exterior que enfoca toda la acera o la entrada del vecino.
• Monitor a la vista del público o aplicación móvil compartida con la contraseña por defecto.
• Pensar que la empresa instaladora ya se ocupa de todo: la AEPD recuerda que contratar un servicio externo no exime al titular del negocio de cumplir el RGPD.
• Videovigilancia ausente del registro de actividades y plantilla que nunca fue informada por escrito.

Para negocios pequeños, la AEPD ofrece la herramienta gratuita Facilita RGPD, que ayuda a generar la documentación básica. Es un buen punto de partida, aunque no sustituye la revisión del caso concreto: dónde están las cámaras, qué captan y quién accede a las imágenes.

Una revisión rápida en cinco preguntas

• ¿Hay un cartel visible con el responsable y la forma de ejercer los derechos?
• ¿La videovigilancia consta en tu registro de actividades de tratamiento?
• ¿El grabador borra las imágenes como máximo al mes?
• ¿Has informado a tus empleados antes de grabarles?
• ¿Sabes exactamente quién puede ver las imágenes y con qué contraseña?

Si alguna respuesta es «no» o «no lo sé», merece la pena corregirlo cuanto antes.

Información general actualizada a octubre de 2026. No sustituye al asesoramiento jurídico ni a la consulta del texto normativo vigente.