TL;DR: En España, el cartel de zona videovigilada es lo fácil. La AEPD sanciona lo que pasa después: quién ve las imágenes, cómo se entregan y si aparecen otras personas. Un supermercado de Madrid pagó 12.000 euros porque una cajera envió por WhatsApp un vídeo de la caja con otros clientes. Para DPD, cumplimiento e IT. Gallio PRO difumina automáticamente rostros y matrículas. Compruebe su instalación con el test de cumplimiento de videovigilancia : nueve preguntas, su resultado en esta misma página, sin correo electrónico.
Muchas empresas buscan un modelo de cartel de zona videovigilada, lo cuelgan en la entrada y dan el tema por cerrado.
El caso que analizamos más abajo demuestra lo contrario. El supermercado sancionado afirmó tener carteles en todos los accesos. La multa no llegó por el cartel, sino por cómo se trataron las imágenes cuando hicieron falta.
Tres momentos concentran el riesgo:
La videovigilancia con fines de seguridad se rige por el RGPD y por el artículo 22 de la Ley Orgánica 3/2018 de Protección de Datos y garantía de los derechos digitales (LOPDGDD):
Según el artículo 22.4 de la LOPDGDD, el cartel debe identificar, como mínimo:
El cartel puede incluir un código QR o una dirección de internet con el resto de la información. El responsable debe tener a disposición de los afectados la información completa del artículo 13 del RGPD. La AEPD publica en su web un modelo de cartel que conviene completar con los datos reales de la empresa: un cartel genérico descargado y sin rellenar no informa de nada.
Si graba a empleados, el artículo 89 de la LOPDGDD añade tres reglas:
El artículo 32 del RGPD obliga a aplicar medidas técnicas y organizativas adecuadas al riesgo. Su apartado 4 exige que quien tenga acceso a los datos solo los trate siguiendo instrucciones del responsable.
En videovigilancia esto se traduce en preguntas muy concretas:
Cuando un cliente pide sus imágenes, tiene derecho a una copia (artículo 15 del RGPD). El plazo es de un mes, ampliable dos meses en casos complejos (artículo 12.3). Pero el artículo 15.4 establece que la copia no puede afectar a los derechos de otros. Las Directrices 3/2019 del Comité Europeo de Protección de Datos (CEPD) indican la solución: difuminar o enmascarar a los terceros antes de entregar la copia.
La AEPD resolvió el procedimiento EXP202407160 contra NOVATES ALIMENTACIÓN MADRID, S.L., que gestiona un supermercado en Madrid ( fuente: resolución PS/00345/2024 de la AEPD).
Los hechos, según la resolución:
La empresa alegó que tenía carteles informativos en todos los accesos y que fue la propia clienta quien pidió el vídeo y facilitó su número. La AEPD consideró igualmente que hubo una infracción del artículo 32 del RGPD: las imágenes fueron accesibles a trabajadores cuya vinculación con la vigilancia no se acreditó, se volvieron a grabar con un segundo dispositivo y se difundieron sin ninguna medida de seguridad.
La multa inicial fue de 20.000 euros. La empresa reconoció su responsabilidad y pagó voluntariamente el 11 de abril de 2025, con lo que se aplicaron dos reducciones del 20 % y la cuantía final quedó en 12.000 euros. La AEPD ordenó además adoptar en el plazo de un mes medidas de seguridad para las imágenes de sus sistemas de videovigilancia.
Lo que muestra el caso:
Las infracciones del artículo 32 del RGPD se rigen por el artículo 83.4: hasta 10 millones de euros o el 2 % del volumen de negocio anual mundial. Las infracciones de los principios y de los derechos de los interesados, por el artículo 83.5: hasta 20 millones de euros o el 4 %.
Gallio PRO funciona como aplicación en Windows y macOS. Para entornos empresariales existe una versión de línea de comandos local (on-premise) para Linux. No es necesario enviar las grabaciones a un servicio en la nube externo. Vea cómo lo aplica una gran cadena minorista en el caso de Plodine .
Punto de control | Base jurídica | ¿Hecho? |
|---|---|---|
Cartel visible con existencia del tratamiento, responsable y derechos | Art. 22.4 LOPDGDD | ☐ |
Información completa disponible (web, QR o recepción) | Art. 13 del RGPD | ☐ |
Trabajadores informados previamente y de forma expresa | Art. 89.1 LOPDGDD | ☐ |
Sin cámaras en vestuarios, aseos ni comedores | Art. 89.2 LOPDGDD | ☐ |
Vía pública captada solo en lo imprescindible | Art. 22.2 LOPDGDD | ☐ |
Supresión en un mes como máximo | Art. 22.3 LOPDGDD | ☐ |
Acceso al monitor y a las exportaciones limitado a personal autorizado | Art. 32.4 del RGPD | ☐ |
Procedimiento de solicitudes de acceso con plazo de un mes | Art. 12 y 15 del RGPD | ☐ |
Herramienta para difuminar a terceros antes de entregar imágenes | Art. 15.4 del RGPD | ☐ |
Entrega por canal seguro, nunca por mensajería personal | Art. 32 del RGPD | ☐ |
Como mínimo, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercer los derechos de los artículos 15 a 22 del RGPD (artículo 22.4 de la LOPDGDD). Puede añadir un código QR o una dirección web con el resto de la información.
Sí. Es la forma en que la LOPDGDD da por cumplido el deber de información. Debe colocarse en un lugar suficientemente visible, antes de entrar en la zona grabada.
Un mes como máximo desde su captación. Si acreditan un acto contra personas, bienes o instalaciones, pueden conservarse, pero deben ponerse a disposición de la autoridad competente en un máximo de 72 horas.
Sí, mediante el derecho de acceso del artículo 15 del RGPD. La empresa debe responder en un mes y difuminar a las demás personas que aparezcan antes de entregar la copia.
No es un canal seguro para este tratamiento. En el caso del supermercado de Madrid, el envío por WhatsApp de un vídeo grabado con un móvil formó parte de los hechos sancionados con 12.000 euros.
Sí, para las funciones de control laboral, si informa previamente y de forma expresa a los trabajadores (artículo 89 de la LOPDGDD). Nunca en vestuarios, aseos o comedores.
Por fallos de seguridad (artículo 32 del RGPD), hasta 10 millones de euros o el 2 % del volumen de negocio anual mundial. Por infringir principios o derechos, hasta 20 millones de euros o el 4 %. El supermercado de Madrid pagó 12.000 euros tras dos reducciones del 20 % sobre una multa inicial de 20.000 euros.
El cartel de zona videovigilada es el primer paso, no el último. La AEPD mira quién accede a las imágenes, cómo se exportan y si la copia que recibe un cliente expone a otras personas. El caso del supermercado de Madrid muestra que un solo vídeo enviado de forma improvisada basta para acabar en sanción.
¿También tiene centros fuera de España? Las normas nacionales cambian de un país a otro, aunque en todos se aplique el mismo RGPD.
Compruebe su instalación con el test de cumplimiento de videovigilancia : nueve preguntas, su resultado en esta misma página, sin correo electrónico.
