La videovigilancia forma parte de la vida cotidiana, desde cámaras en tiendas y centros comerciales hasta sistemas de control de acceso, dashcams y redes urbanas inteligentes. Aunque la tecnología utilizada es similar en todo el mundo, las normas que regulan estas prácticas difieren considerablemente. Las leyes de protección de datos más relevantes, como el RGPD europeo, el UK GDPR, el CCPA/CPRA en California, la LGPD en Brasil y la POPIA en Sudáfrica, consideran las grabaciones de vídeo como datos personales cuando las personas son identificables [1][6][7][8]. Este análisis describe cómo cada marco regula la videovigilancia y qué obligaciones recaen sobre los responsables del tratamiento. El texto es informativo y no constituye asesoramiento jurídico.
Todas las leyes modernas de privacidad se basan en un principio común: cuando un individuo puede ser identificado en una grabación, esta constituye tratamiento de datos personales.
El RGPD define los datos personales como cualquier información sobre una persona física identificada o identificable, lo que incluye imágenes que permitan reconocerla [1]. El UK GDPR sigue esta misma línea. La autoridad británica ICO señala que la mayoría de las grabaciones de CCTV y bodycams se consideran datos personales si las personas son identificables [2][3]. Definiciones similares aparecen en la LGPD brasileña y la POPIA sudafricana [7][8].
Entre los usos más comunes se encuentran cámaras fijas en tiendas y centros comerciales, sistemas ANPR/LPR en aparcamientos, videoporteros, sistemas de control de acceso, cámaras corporales de seguridad y redes de ciudades inteligentes. Aunque el objetivo principal sea la seguridad, los reguladores consideran estas grabaciones como tratamiento sujeto a principios de proporcionalidad, minimización, transparencia y derechos de los interesados.
El RGPD y su versión británica son los marcos más exhaustivos en cuanto a regulación de videovigilancia. Las autoridades europeas publican guías detalladas sobre el tema.
El responsable debe definir una base legal, como interés legítimo en prevenir robos, garantizar la seguridad, cumplir con una obligación legal o - menos común - el consentimiento [1]. El consentimiento suele considerarse inapropiado en vigilancia continua de espacios públicos.
El artículo 35 del RGPD exige una evaluación de impacto (DPIA) cuando el tratamiento implique alto riesgo, como la vigilancia sistemática de zonas de acceso público [1].
La ICO exige señalización clara, una política de privacidad accesible y procedimientos para atender solicitudes de acceso, oposición y eliminación de datos [2][3].
El CCPA y el CPRA regulan grabaciones de vídeo cuando pueden relacionarse con un consumidor o un hogar [4][5].
El CCPA define ampliamente la información personal, incluyendo grabaciones que muestran rostros, características corporales o matrículas [4]. El CPRA introduce un enfoque reforzado sobre «información personal sensible» [5].
Las empresas deben revelar qué categorías de datos recopilan y con qué fines, incluida la videovigilancia. Cualquier divulgación a proveedores debe documentarse [4][5].
Los consumidores tienen derecho a acceder y eliminar datos personales. Para grabaciones, esto requiere difuminar o anonimizar a terceros antes de proporcionar el material [4][5].
La LGPD y la POPIA extienden un enfoque similar al RGPD en dos importantes jurisdicciones.
La LGPD se aplica a cualquier tratamiento de datos realizado en Brasil o sobre personas ubicadas en Brasil [7]. Para sistemas de videovigilancia extensos, puede exigirse un informe de impacto similar a una DPIA.
Las grabaciones de CCTV se rigen por las «conditions for lawful processing» de POPIA, que incluyen especificación de finalidad, transparencia, seguridad y participación del interesado [8][9].
Los reguladores en ambos países muestran una tendencia creciente hacia modelos de cumplimiento inspirados en el RGPD [7][8][9].
Aunque difieren en estructura y terminología, estos marcos globales presentan fuertes similitudes.
Todas las leyes exigen una justificación clara del tratamiento y del propósito [1][7][8]. En contraste, el CCPA/CPRA se centra más en la transparencia que en bases legales obligatorias [4][5].
Los derechos de acceso están presentes bajo el RGPD, LGPD, POPIA y parcialmente bajo CCPA/CPRA. El mayor reto es difuminar a terceros [1][4][7][8].
El RGPD y la LGPD consideran que el consentimiento del empleado es difícil de justificar; POPIA exige proporcionalidad y equidad [1][7][8]. El CPRA amplía derechos de empleados en California [5].
La aplicación práctica de estas obligaciones suele ser el paso más complejo.
Los reguladores exigen documentación completa de cámaras, finalidades, acceso y tiempos de retención [1][7][8].
Entidades como ICO y EDPB exigen difuminar a terceras personas [2][3]. Organizaciones utilizan herramientas como Gallio PRO, que permiten automatizar el difuminado de rostros, matrículas y objetos sensibles.
Las autoridades exigen políticas formalizadas, registros de acceso, DPIA o informes de impacto y auditorías regulares [1][2][7][8].
En la mayoría de los casos sí, si las personas son identificables.
No suele ser necesario; normalmente se recurre a interés legítimo.
No existe un estándar global; debe justificarse por la finalidad.
Sí, generalmente con difuminado de terceros.
Sí, especialmente el reconocimiento facial o la evaluación emocional.
