Cláusula informativa sobre videovigilancia: definición
La cláusula informativa sobre videovigilancia es el conjunto de información que se facilita a las personas sometidas a videovigilancia acerca del tratamiento de sus datos personales. En la práctica, se refiere sobre todo a la imagen captada en las grabaciones de vídeo y, en determinados casos, también a otros identificadores visibles en el material, como las matrículas. La obligación de informar deriva de los artículos 12 y 13 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, es decir, del RGPD, aplicable desde el 25 de mayo de 2018.
En el entorno de la videovigilancia, esta cláusula suele tener una estructura por capas. La primera capa consiste en una información breve facilitada al acceder a la zona vigilada por cámaras. La segunda capa contiene el conjunto completo de datos exigidos por el artículo 13 del RGPD y debe ser fácilmente accesible, por ejemplo, en la recepción, en la página web del responsable del tratamiento o mediante un código QR. Este enfoque es coherente con las directrices del Comité Europeo de Protección de Datos recogidas en las Guidelines 3/2019 on processing of personal data through video devices, adoptadas en su versión final el 29 de enero de 2020.
En el contexto de la anonimización de fotos y grabaciones de vídeo, la cláusula informativa no sustituye la obligación de implantar medidas técnicas y organizativas adecuadas. Su función es informar sobre el propio tratamiento, sus fines, la base jurídica, el plazo de conservación, los destinatarios y los derechos de las personas grabadas. Si el material de vídeo se utiliza posteriormente, se exporta, se publica, se comunica a un encargado del tratamiento o se somete a anonimización mediante difuminado de rostros o matrículas, el alcance de la información debe reflejar el proceso real de tratamiento.
Cómo facilitar la cláusula informativa junto a las cámaras
En materia de videovigilancia, no basta con colocar un simple pictograma de cámara. La persona debe recibir la información de forma concisa, transparente y fácilmente accesible antes de entrar en la zona sometida a grabación o, como muy tarde, en el momento en que se inicia la captación. Esto se deriva del principio de transparencia del artículo 12 del RGPD y de las directrices del CEPD para dispositivos de vídeo.
El modelo más habitual es el de doble capa. La primera capa se coloca físicamente en la entrada, puerta, barrera, recepción o en el campo de visión de la persona que se aproxima a la cámara. La segunda capa contiene la cláusula completa y debe estar disponible sin esfuerzo excesivo.
- Capa 1 - información resumida: identidad del responsable del tratamiento, finalidad de la videovigilancia, información sobre los derechos e indicación del lugar de acceso a la cláusula completa.
- Capa 2 - información completa: todos los elementos del artículo 13 del RGPD, incluido el plazo de conservación, los destinatarios de los datos, los datos de contacto del delegado de protección de datos e información sobre la posibilidad de presentar una reclamación ante la autoridad de control.
- Forma de comunicación: cartel, adhesivo, reglamento, sitio web, documento en recepción, código QR. El canal debe adecuarse al lugar de instalación y al perfil de las personas grabadas.
En la videovigilancia de vehículos y aparcamientos, es fundamental que el aviso sea legible desde una distancia adecuada. El CEPD indica que la primera capa debe permitir a la persona identificar quién trata sus datos y con qué finalidad. No puede tratarse únicamente de una referencia genérica a la seguridad sin identificar al responsable del tratamiento.
Contenido obligatorio de la cláusula informativa sobre videovigilancia
El contenido de la cláusula debe corresponder al desarrollo real del tratamiento de datos en el sistema de CCTV, las cámaras IP, los grabadores y los procesos posteriores, como la selección del material, la exportación de grabaciones, el enmascaramiento de datos o la comunicación de grabaciones a autoridades competentes. En la anonimización de fotos y vídeos, no se trata tanto de describir el algoritmo en sí, sino la finalidad y el alcance del tratamiento posterior.
Elemento de la cláusula | Base | Importancia práctica
|
|---|---|---|
Datos del responsable del tratamiento | Art. 13.1.a del RGPD | La persona grabada debe saber quién es responsable de la videovigilancia. |
Datos de contacto del DPD | Art. 13.1.b del RGPD | Facilitan el ejercicio de derechos y la formulación de consultas. |
Fines del tratamiento | Art. 13.1.c del RGPD | Por ejemplo, protección de bienes, seguridad de las personas o control de accesos. |
Base jurídica | Art. 13.1.c del RGPD | Normalmente, el art. 6.1.c o 6.1.f del RGPD, según el contexto. |
Interés legítimo | Art. 13.1.d del RGPD | Necesario cuando la base es el art. 6.1.f del RGPD. |
Destinatarios de los datos | Art. 13.1.e del RGPD | Por ejemplo, empresa de seguridad, proveedor de mantenimiento o autoridades públicas. |
Plazo de conservación | Art. 13.2.a del RGPD | Debe ser concreto o basarse en un criterio claro. |
Derechos de las personas | Art. 13.2.b-d del RGPD | Acceso, supresión, limitación, oposición y reclamación. |
Cláusula informativa y anonimización de fotos y grabaciones de vídeo
En la práctica del cumplimiento normativo, es clave distinguir entre la grabación original y el material preparado para un uso posterior. Si el responsable del tratamiento prevé utilizar fragmentos de fotos o grabaciones fuera de la finalidad inicial de seguridad, por ejemplo para su publicación, materiales formativos, comunicación a un socio o presentación de un incidente, debe valorar si es necesaria la anonimización de rostros y matrículas.
En sistemas como Gallio PRO, el tratamiento automatizado se aplica a rostros y matrículas. El software no anonimiza cuerpos completos, no realiza anonimización del flujo de vídeo y no funciona en tiempo real. Tampoco detecta automáticamente logotipos, tatuajes, tarjetas identificativas, documentos ni imágenes visibles en pantallas de monitor. Estos elementos pueden difuminarse manualmente en el editor. Esta distinción es relevante para el contenido de la cláusula, ya que el responsable del tratamiento debe describir el alcance real de las operaciones sobre los datos y los destinatarios del material tras la anonimización.
Si para difuminar rostros se utiliza un modelo de IA, su funcionamiento suele abarcar dos etapas: la detección de objetos en el encuadre y la aplicación de una máscara o filtro de desenfoque. Este tipo de modelos se crea mediante técnicas de deep learning, pero la cláusula informativa no tiene por qué revelar la arquitectura del modelo. Sí debe indicar, en cambio, que el material puede someterse a una anonimización técnica con el fin de reducir el riesgo de vulneración de los derechos y libertades de las personas físicas.
Parámetros clave y criterios de cumplimiento
La evaluación de la corrección de una cláusula informativa no se basa en declaraciones comerciales, sino en atributos formales y operativos verificables. Para el DPD y el responsable del tratamiento, es esencial comprobar si la información es completa, accesible y coherente con el ciclo de vida real de la grabación.
- Integridad: inclusión de todos los elementos del artículo 13 del RGPD.
- Accesibilidad: información visible antes de entrar en la zona de videovigilancia.
- Legibilidad: lenguaje sencillo, contraste adecuado y tamaño de letra proporcional a la distancia respecto del aviso.
- Coherencia del proceso: correspondencia de la cláusula con la retención, el alcance de las cámaras, la exportación de grabaciones y los procedimientos de anonimización.
- Responsabilidad proactiva: posibilidad de demostrar desde cuándo y de qué forma se ha cumplido la obligación de informar.
Un indicador práctico es también el plazo máximo de conservación de las grabaciones. En algunas normativas sectoriales existen límites específicos, pero, por regla general, el plazo debe limitarse al mínimo necesario y justificarse por la finalidad perseguida. No debe indicarse un plazo arbitrario sin relación con el análisis de riesgos y los procedimientos de gestión de incidentes.
Errores más frecuentes en las cláusulas de videovigilancia
Los errores suelen referirse no tanto a la mera presencia del cartel como a su contenido y a su relación con el funcionamiento real del sistema. También es problemático omitir operaciones posteriores sobre el material, incluida la anonimización o la comunicación de grabaciones a terceros.
- Falta de identificación del responsable del tratamiento o datos de contacto incompletos.
- Falta de referencia a la cláusula completa o dificultad de acceso a ella.
- Finalidad demasiado genérica, por ejemplo, la sola palabra “seguridad”.
- Ausencia de información sobre destinatarios y encargados del tratamiento.
- Plazo de conservación desactualizado o ausencia del criterio utilizado para determinarlo.
- Discordancia entre la descripción y la práctica real, por ejemplo, omitir la exportación de grabaciones para su anonimización.
Referencias normativas y fuentes
La definición y la práctica de aplicación de la cláusula informativa sobre videovigilancia deben basarse en fuentes primarias. En caso de discrepancias entre la práctica nacional y las posiciones europeas, prevalece el Derecho de la Unión y su interpretación.
- Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016: arts. 12, 13 y 5.1.a y c.
- CEPD, Guidelines 3/2019 on processing of personal data through video devices, versión final de 29 de enero de 2020.
- Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales.
- Normativa sectorial sobre videovigilancia, cuando resulte aplicable, por ejemplo, normativa laboral o regulación de la videovigilancia en centros educativos.