Videovigilancia de un local: gestión e imágenes de un incidente

Delimita qué proteges y qué necesita captar cada cámara

El artículo 22 de la Ley Orgánica 3/2018 permite la videovigilancia dirigida a preservar la seguridad de personas, bienes e instalaciones. Identifica el problema, las zonas pertinentes y por qué la captación resulta necesaria. La comodidad de vigilar toda la calle o el local colindante no basta para ampliar el encuadre.

Prepara un plano con cámaras, orientación, zonas excluidas y existencia de grabación. La captación de vía pública debe limitarse a lo imprescindible para esa finalidad; la ficha de la AEPD para establecimientos se refiere a una franja mínima de los accesos. Para cámaras orientables o con zoom, comprueba máscaras de privacidad. No incluyas interiores de viviendas ni zonas ajenas porque el equipo permita verlas.

Esta guía se centra en imágenes para seguridad ordinaria de un establecimiento. Activar sonido, reconocimiento biométrico o vigilancia de trabajadores requiere su análisis propio. El artículo 22.8 remite el uso empresarial sobre trabajadores al artículo 89: el cartel de seguridad no resuelve por sí solo esa rama.

Reparte decisiones y acceso entre responsable y proveedor

Identifica a quien decide fines y medios del sistema. Contratar al instalador o a una empresa de vigilancia no elimina las obligaciones de ese responsable. Anota quién puede ver, exportar o borrar, con qué cuenta y para qué tarea; limita las autorizaciones a lo necesario. El mostrador no debería permitir que cualquier visitante vea el monitor.

Si un proveedor trata las imágenes por cuenta del responsable, revisa el contrato de encargado del artículo 28 del RGPD, incluidas instrucciones, confidencialidad, seguridad y asistencia ante derechos. No atribuyas ese papel sólo por vender una cámara: importa el acceso y servicio reales. Las cuentas compartidas y las copias personales dificultan saber quién extrajo un vídeo.

Antes de ponerlo en marcha, documenta el tratamiento, información, accesos y borrado. La AEPD incluye un registro de actividades en su ficha para establecimientos y enlaza sus recursos oficiales. El cartel no sustituye esa organización.

Usa el cartel oficial y completa la información

El dispositivo informativo debe ser suficientemente visible e identificar al menos la existencia del tratamiento, al responsable y la posibilidad de ejercer derechos. Mantén también disponible la restante información del RGPD: finalidad y base, destinatarios, conservación y vías de ejercicio, según corresponda.

Descarga el cartel de la AEPD y consulta su ficha para establecimientos públicos. Completar el nombre de la empresa instaladora cuando otra entidad decide el tratamiento puede dejar sin identificar al responsable correcto. Comprueba también que la dirección o enlace para ampliar información funciona y es accesible para el público.

Un mes para la supresión no equivale a treinta días de prueba garantizada

El artículo 22.3 fija un máximo de un mes desde la captación, no un tiempo mínimo de almacenamiento: el sistema puede sobrescribir antes. Comprueba la configuración real y su funcionamiento. Pedir una copia al final del mes puede llegar demasiado tarde.

La excepción legal permite conservar imágenes para acreditar actos que atenten contra la integridad de personas, bienes o instalaciones. En ese supuesto deben ponerse a disposición de la autoridad competente en un máximo de 72 horas desde que se conoce la existencia de la grabación. No se cuenta automáticamente desde el incidente ni se reinicia por copiar el archivo. A estos tratamientos no se aplica el bloqueo del artículo 32 de la ley orgánica.

Una petición por una caída no convierte por sí sola todo el archivo en esa excepción. Si se pide prueba para una reclamación civil, identifica la franja y valora su fundamento y el derecho de limitación: el artículo 18.1.c del RGPD contempla el supuesto en que el responsable ya no necesita los datos y el interesado los necesita para formular, ejercer o defender reclamaciones. También existen reglas de supresión y defensa de reclamaciones en el artículo 17.3.e. Documenta la decisión, el material estrictamente necesario, acceso restringido y su revisión; no conserves indefinidamente todas las cámaras bajo el rótulo «incidente».

Cuando un cliente pide las imágenes

1. Localiza el hecho: fecha, hora aproximada, zona, descripción suficiente para identificar a la persona y qué solicita. Pide sólo la información adicional necesaria si hay dudas razonables sobre identidad.
2. Separa lo solicitado: conservación o limitación, acceso a sus propios datos, copia para una reclamación o requerimiento de autoridad. No son solicitudes intercambiables.
3. Comprueba disponibilidad: cámaras relevantes, reloj del equipo, franja conservada y borrado previsto. Guarda solicitud, comprobación y respuesta.
4. Resuelve el acceso protegiendo a terceros: el artículo 15 reconoce acceso y copia de los datos propios, sin perjudicar derechos y libertades de otros. Valora una copia o extracción con protección de las personas ajenas; su aparición no autoriza entregar sin más toda la grabación ni justifica denegar sin examinar la petición.

El artículo 12 del RGPD exige informar de las actuaciones sobre derechos en un mes desde la recepción. Puede ampliarse otros dos por complejidad o número de solicitudes, informando de la ampliación y sus motivos dentro del primer mes. Ese plazo de respuesta no amplía por sí solo el tiempo del grabador: la conservación urgente debe tratarse desde el inicio. Si no se atiende la solicitud, hay que comunicar razones y vías de reclamación en los términos del artículo 12.4.

Entrega a autoridades y circulación interna

Comprueba el origen, alcance y referencia de un requerimiento policial o judicial, identifica la extracción y conserva constancia de la entrega por el cauce correspondiente. La AEPD sitúa estas peticiones en actuaciones policiales o judiciales. Separa ese requerimiento de la excepción y puesta a disposición del artículo 22.3.

Ver un hurto en el monitor no autoriza publicar rostros en redes ni distribuir el vídeo entre clientes. Tampoco basta llamarlo «seguridad» para entregarlo a cualquier aseguradora o tercero: hay que examinar destinatario, necesidad y fundamento de esa comunicación. Evita accesos informales mientras se decide la vía.

Caso ficticio: caída con otras personas en plano

Una clienta comunica el mismo día que cayó a las 11:40 junto a una nevera y pide conservar la franja 11:35–11:45 y acceder a sus imágenes. El equipo sobrescribe a los siete días. La tienda registra la petición, comprueba hora y cámaras y estudia de inmediato la conservación y el acceso; no espera un mes para localizar el vídeo.

Si en la secuencia aparecen clientes ajenos, prepara la respuesta valorando cómo proteger sus datos. Si no aparece la caída, informa de lo comprobado y de la disponibilidad real, sin fabricar una certeza sobre la causa. Si hay una agresión u otro hecho que encaje en el artículo 22.3, activa su cauce y plazo propio; no des por hecho que toda caída encaja en él.

Para la reclamación del daño también importan la causa, fotografías, parte de incidencia, testigos y evolución médica: consulta la guía de caídas en negocios. Tener vídeo no demuestra automáticamente responsabilidad del establecimiento ni una cuantía de indemnización.

Lista operativa del establecimiento

La documentación jurídica de videovigilancia puede revisar esos documentos y decisiones. Si se trata de elementos comunes de un edificio, consulta la guía de cámaras en comunidades, que añade su propio régimen de acuerdos.

Preguntas frecuentes

¿Debo conservar siempre un mes completo?

La ley establece un máximo general, no un mínimo garantizado. Comprueba el borrado real y atiende cuanto antes una petición relevante.

¿Puedo mandar al cliente todo el vídeo por mensajería?

El derecho de acceso exige valorar identidad, datos propios y derechos de terceros. Una entrega informal de toda la grabación puede exceder lo necesario; organiza una respuesta y un canal adecuados.

¿La empresa instaladora se encarga de todo?

No por el mero hecho de instalar. Identifica quién decide el tratamiento, quién accede y qué obligaciones cubre realmente el contrato.

Fuentes y alcance

• LO 3/2018, artículo 22: finalidad, captación, supresión, excepción, información y remisión laboral.
• RGPD, artículos 5, 6, 12, 13, 15, 17, 18, 28 y 32: principios, fundamento, derechos, encargado y seguridad.
• AEPD: videovigilancia, ficha de establecimientos y cartel oficiales enlazados arriba. Estos recursos no certifican una instalación concreta.