TL;DR: Quien tiene cámaras en Alemania debe colocar un cartel antes de la zona vigilada y responder en un mes a las solicitudes de acceso (artículo 15 del RGPD) sin mostrar a otras personas en la copia. Volkswagen pagó 1,1 millones de euros, en parte por no señalizar sus cámaras. Guía para DPD, cumplimiento e IT. Gallio PRO difumina automáticamente rostros y matrículas. Compruebe su instalación con el test de cumplimiento de videovigilancia : nueve preguntas, su resultado en esta misma página, sin correo electrónico.
A quién va dirigida esta guía
Este artículo describe la situación en Alemania. Está pensado para empresas españolas y europeas que tienen en Alemania tiendas, almacenes, oficinas o flotas, y para sus equipos de protección de datos.
El RGPD se aplica en toda la UE. La forma en que lo interpretan las autoridades alemanas, y las normas nacionales que lo acompañan, son propias de Alemania. Indicamos los términos alemanes entre paréntesis para que pueda localizarlos en los documentos locales y con sus asesores.
Tres obligaciones en las que fallan la mayoría de las empresas
Las autoridades de control alemanas rara vez inspeccionan la cámara en sí. Revisan lo que ocurre antes y después.
Antes: ¿se informa a la persona antes de que entre en la zona vigilada?
Después: ¿qué pasa cuando alguien pide ver sus imágenes?
Entre ambos momentos está la cuestión de si puede demostrar que cumple. La mayoría de las multas se centran justo en estos tres puntos.
¿Qué base jurídica se aplica a las empresas en Alemania?
Para las empresas y demás entidades privadas, la base jurídica es el artículo 6, apartado 1, letra f), del RGPD, es decir, el interés legítimo. El Tribunal Administrativo Federal de Alemania (Bundesverwaltungsgericht, BVerwG) resolvió el 27 de marzo de 2019 (asunto 6 C 2.18) que el artículo 4 de la Ley Federal de Protección de Datos (BDSG) ya no se aplica a la videovigilancia realizada por entidades privadas.
En la práctica, debe documentar una ponderación entre su interés y los intereses de las personas grabadas. Los fines habituales son la protección frente a robos, vandalismo y allanamientos. Una cámara que lo graba todo «por si acaso» rara vez supera esa ponderación.
El artículo 13 del RGPD exige informar a las personas en el momento en que se recogen sus datos. En el caso de las cámaras, el cartel debe ser visible antes de que la persona entre en el campo de grabación. Las Directrices 3/2019 del Comité Europeo de Protección de Datos (CEPD) recomiendan una información por capas.
Primera capa, el propio cartel:
- Nombre y datos de contacto del responsable del tratamiento
- Datos de contacto del delegado de protección de datos, si se ha designado
- Finalidad de la videovigilancia y base jurídica
- El interés legítimo, si se basa en el artículo 6, apartado 1, letra f)
- Plazo de conservación
- Referencia a los derechos de los interesados y a dónde encontrar la información completa
Segunda capa: la información completa del artículo 13 del RGPD, por ejemplo en un aviso en recepción, en una página de su web o mediante un código QR en el cartel.
La Conferencia de Protección de Datos de Alemania (Datenschutzkonferenz, DSK), que reúne a las autoridades federal y regionales, ha publicado un modelo para este tipo de cartel. Un pictograma por sí solo no basta.
Obligación 2: la solicitud de acceso del artículo 15 del RGPD
Cualquier persona grabada puede solicitar acceso a sus datos y obtener una copia (artículo 15, apartados 1 y 3, del RGPD). El plazo de respuesta es de un mes desde la recepción. En casos complejos puede ampliarse dos meses más, siempre que se informe al interesado dentro del primer mes (artículo 12, apartado 3, del RGPD).
Aquí empieza el verdadero problema. Casi todas las grabaciones muestran también a otras personas: clientes, empleados, transeúntes y sus vehículos.
El artículo 15, apartado 4, del RGPD establece que el derecho a obtener una copia no puede afectar negativamente a los derechos y libertades de otros. Las Directrices 3/2019 del CEPD mencionan expresamente la edición de imágenes, como el enmascaramiento o la distorsión, como forma de proteger a terceros.
Por tanto, no puede denegar la solicitud solo porque aparezcan otras personas. Tiene que hacerlas irreconocibles y entregar la copia.
Obligación 3: poder demostrarlo
Según el artículo 5, apartado 2, del RGPD, debe poder demostrar el cumplimiento. En la videovigilancia en Alemania esto implica, como mínimo:
- Una ponderación documentada por cámara o por zona
- Una entrada en el registro de actividades de tratamiento (artículo 30 del RGPD)
- Un plazo de conservación definido. La DSK indica 72 horas como valor de referencia.
- Contratos de encargo del tratamiento con cada proveedor que tenga acceso a las imágenes (artículo 28 del RGPD)
- Un registro de cada entrega de imágenes: quién, cuándo, qué fragmento y qué se difuminó
El caso Volkswagen: 1,1 millones de euros por falta de señalización
En julio de 2022, la Comisionada de Protección de Datos de Baja Sajonia (Landesbeauftragte für den Datenschutz Niedersachsen) impuso a Volkswagen AG una multa de 1,1 millones de euros. Volkswagen aceptó la resolución ( fuente: LTO, en alemán).
Todo empezó con un control policial en Austria en 2019. Un vehículo de pruebas de VW grababa con cámaras el tráfico de alrededor para analizar errores de un sistema de asistencia a la conducción. Faltaban en el vehículo los carteles magnéticos que señalizaban las cámaras, y los usuarios de la vía grabados no recibieron la información exigida por el artículo 13 del RGPD. Tampoco existía un contrato de encargo del tratamiento con la empresa que realizaba los trayectos de prueba.
En total, la autoridad constató cuatro infracciones. Cada una se calificó como leve. Juntas sumaron una multa de siete cifras.
Lo que muestra el caso:
- La obligación de informar también abarca las grabaciones desde vehículos, no solo las cámaras fijas. Si recoge imágenes de vehículos para desarrollar sistemas de asistencia a la conducción, consulte nuestra página sobre anonimización de datasets ADAS .
- Todo proveedor que trate grabaciones necesita un contrato de encargo del tratamiento. Esto incluye los servicios en la nube a los que sube vídeos para editarlos.
- Las infracciones de las obligaciones de información y de los derechos de los interesados se rigen por el artículo 83, apartado 5, del RGPD: hasta 20 millones de euros o el 4 % del volumen de negocio anual mundial, la cuantía que sea mayor.
Cómo responder a una solicitud de acceso a imágenes de videovigilancia en 5 pasos
- Registre la solicitud y el plazo. Anote la fecha de recepción. El plazo de un mes empieza a contar ese día. Verifique la identidad del solicitante y pídale el lugar, la fecha y la hora aproximada para localizar la secuencia correcta.
- Asegure el fragmento. Exporte la secuencia correspondiente desde su sistema de gestión de vídeo antes de que venza el plazo de borrado habitual. Anote en el registro por qué se conserva la grabación más tiempo.
- Difumine a terceros. Cargue el fragmento en Gallio PRO . El software detecta automáticamente rostros y matrículas y los difumina. La detección de rostros no identifica a nadie: solo localiza las zonas de la imagen en las que hay un rostro. Asegúrese de que el solicitante siga siendo reconocible: solo se difumina a terceros.
- Retoque manualmente si hace falta. Las tarjetas identificativas, pantallas, documentos y logotipos no se detectan automáticamente. Márquelos a mano en el editor integrado de Gallio PRO. Revise también los reflejos en cristales y escaparates.
- Revise, entregue, documente. Vea el resultado completo, no solo fragmentos. Entregue la copia y anote la entrega en el registro.
Gallio PRO funciona como aplicación en Windows y macOS. Para entornos empresariales existe una versión de línea de comandos local (on-premise) para Linux. No es necesario enviar las grabaciones a un servicio en la nube externo.
Lista de comprobación para la videovigilancia en Alemania
Punto de control | Base jurídica | ¿Hecho? |
Cartel antes de la zona grabada, con responsable, finalidad y plazo de conservación | Artículo 13 del RGPD | ☐ |
Información completa disponible como segunda capa | Artículo 13 del RGPD | ☐ |
Ponderación documentada para cada zona | Artículo 6, apartado 1, letra f), del RGPD | ☐ |
Plazo de conservación definido y aplicado técnicamente | Artículo 5, apartado 1, letra e), del RGPD | ☐ |
Procedimiento para solicitudes de acceso con plazo de un mes | Artículos 12 y 15 del RGPD | ☐ |
Herramienta para difuminar a terceros antes de entregar imágenes | Artículo 15, apartado 4, del RGPD | ☐ |
Contratos de encargo del tratamiento con todos los proveedores | Artículo 28 del RGPD | ☐ |
Entrada en el registro de actividades de tratamiento | Artículo 30 del RGPD | ☐ |
¿También tiene cámaras en España? Quién puede acceder a las grabaciones y a quién pueden entregarse lo explicamos en nuestro artículo sobre el cumplimiento del RGPD en sistemas de videovigilancia .
Preguntas frecuentes
¿Es obligatorio el cartel de videovigilancia en Alemania?
Sí. El artículo 13 del RGPD obliga a informar a las personas cuando se recogen sus datos. En el caso de las cámaras, se hace con un cartel visible antes de la zona vigilada. Un pictograma sin más datos no basta.
¿Qué debe incluir un cartel de videovigilancia en Alemania?
Como mínimo: el responsable del tratamiento y sus datos de contacto, el delegado de protección de datos si se ha designado, la finalidad y la base jurídica, el interés legítimo, el plazo de conservación y dónde encontrar la información completa.
¿Se aplica el artículo 4 de la BDSG a la videovigilancia de las empresas?
No. Tras la sentencia del Tribunal Administrativo Federal de 27 de marzo de 2019 (6 C 2.18), la videovigilancia realizada en Alemania por entidades privadas se rige por el artículo 6, apartado 1, letra f), del RGPD.
¿Tengo que entregar una copia de las imágenes de videovigilancia?
Sí, si el solicitante aparece en las imágenes y la grabación sigue existiendo. El plazo es de un mes y puede ampliarse dos meses en casos justificados.
¿Puede la copia mostrar a otras personas?
No. Según el artículo 15, apartado 4, del RGPD, la copia no puede afectar a los derechos de otros. Los rostros y las matrículas de terceros deben difuminarse antes de la entrega.
¿Cuánto tiempo pueden conservarse las imágenes de videovigilancia en Alemania?
Solo el tiempo necesario para la finalidad. La DSK indica 72 horas como valor de referencia. Un plazo más largo debe justificarse, por ejemplo por la investigación de un incidente en curso.
¿Qué cuantía puede tener una multa por videovigilancia no conforme?
Por infringir las obligaciones de información y los derechos de los interesados: hasta 20 millones de euros o el 4 % del volumen de negocio anual mundial (artículo 83, apartado 5, del RGPD). Volkswagen pagó en 2022 1,1 millones de euros por cuatro infracciones calificadas como leves.
Conclusión
Un cartel cuesta unos pocos euros. Una solicitud de acceso sin respuesta, o respondida con otras personas visibles en la copia, puede desencadenar un procedimiento ante una autoridad de control alemana. El caso Volkswagen demuestra que las carencias formales salen caras cuando se acumulan.
Compruebe su instalación con el test de cumplimiento de videovigilancia : nueve preguntas, su resultado en esta misma página, sin correo electrónico.
