Cámaras de videovigilancia y RGPD: Todo lo que debes saber

19/06/2026

Última modificación: 30/06/2026

Instalar cámaras de videovigilancia en una empresa o un particular parece, a primera vista, una decisión puramente técnica: elegir el número de cámaras, su resolución y dónde colocarlas. Sin embargo, en España esta decisión está sometida a un marco legal denso que combina protección de datos, derecho laboral y normativa de seguridad privada. Quien lo ignora no solo se arriesga a una sanción económica, sino a que la instalación pierda toda su validez como prueba en caso de incidente, robo o conflicto laboral.

Este artículo recopila, con referencias verificables, qué exige realmente la ley a una empresa que quiere proteger sus instalaciones con cámaras, qué errores son los más sancionados y cómo un proyecto bien diseñado desde el origen evita convertir una medida de seguridad en un problema legal.

Tabla de contenidos

Por qué este no es solo un asunto de protección de datos

Cuando se piensa en videovigilancia y normativa, la referencia inmediata es el Reglamento General de Protección de Datos (RGPD). Es correcto, pero incompleto. En España, las cámaras de seguridad están reguladas simultáneamente por tres marcos normativos distintos, que se aplican de forma complementaria:

El RGPD (Reglamento UE 2016/679), que establece los principios generales de tratamiento de datos personales aplicables a cualquier captación de imágenes que permita identificar a una persona.
La Ley Orgánica 3/2018 (LOPDGDD), que adapta el RGPD al ordenamiento español y dedica específicamente su artículo 22 al tratamiento de imágenes con fines de videovigilancia, así como artículos posteriores al uso de cámaras en el ámbito laboral.
La Ley 5/2014, de Seguridad Privada, que en su artículo 42 regula de forma específica los servicios de videovigilancia prestados por o para empresas, y que resulta especialmente relevante cuando las cámaras están conectadas a una Central Receptora de Alarmas (CRA) o a un centro de control.

Sobre la regulación de estos servicios, el uso de cámaras está supeditado a la normativa de protección de datos, y en lo no regulado por la Ley de Seguridad Privada se aplica de forma subsidiaria la normativa general sobre videovigilancia por parte de las Fuerzas y Cuerpos de Seguridad. En la práctica, esto significa que una empresa no puede limitarse a «cumplir el RGPD»: debe diseñar su sistema de videovigilancia teniendo en cuenta también las exigencias específicas que impone la legislación de seguridad privada, particularmente si trabaja con una empresa de seguridad autorizada para la instalación, conexión o mantenimiento del sistema.

Qué obligaciones marca el RGPD y la LOPDGDD

1. El deber de información: el cartel no es opcional ni decorativo

La obligación más conocida y, paradójicamente, una de las más incumplidas es la señalización. Según explica la propia Agencia Española de Protección de Datos (AEPD) en sus fichas prácticas sobre videovigilancia, las empresas deben optar por un sistema de capas que incluya un cartel donde se indique que la zona está videovigilada, la identidad del responsable del tratamiento, y la posibilidad de ejercer los derechos previstos en los artículos 15 a 22 del RGPD, manteniendo además a disposición de los afectados el resto de información exigida por el artículo 13.

El contenido mínimo del cartel, según detalla la guía de Protección Datos LOPD sobre zonas videovigiladas, debe incluir la existencia del tratamiento, la identidad y dirección del responsable, la posibilidad de ejercer los derechos reconocidos en los artículos 15 a 22 del RGPD, y dónde obtener más información sobre el tratamiento. Si la instalación tiene varios accesos, el cartel debe colocarse en todos ellos, no solo en la entrada principal.

Un matiz importante y poco conocido: la AEPD no exige un cartel homologado ni con dimensiones específicas. Como aclara un informe jurídico de la propia Agencia sobre este asunto, no existe ningún criterio oficial respecto a las dimensiones mínimas, debiendo ser un cartel acorde al espacio donde se ubique. Sí es posible, y recomendable, combinar en un único cartel las exigencias de la normativa de seguridad privada y las del RGPD, siempre que la información resulte clara, sencilla y comprensible para los afectados.

2. Minimización: grabar solo lo necesario

El RGPD exige que la captación se limite a lo estrictamente necesario para la finalidad de seguridad. Esto tiene implicaciones muy concretas:

Las cámaras orientables o con zoom requieren máscaras de privacidad para evitar captar la vía pública o propiedades colindantes.
Quedan excluidas las zonas que afectan gravemente a la intimidad: vestuarios, baños, zonas de descanso del personal.
Como norma general, solo las Fuerzas y Cuerpos de Seguridad pueden grabar la vía pública con fines de seguridad ciudadana; una empresa privada solo puede captar una franja mínima imprescindible de acceso a sus instalaciones.

3. Plazo de conservación: 30 días, no «el tiempo que convenga»

Uno de los puntos donde más empresas fallan es la conservación indefinida de las grabaciones. La normativa establece un plazo máximo claro: las imágenes deben borrarse en un plazo máximo de 30 días, salvo que exista un incidente que requiera su conservación como prueba. Pasado ese plazo sin que se haya producido ninguna incidencia, las grabaciones deben eliminarse de forma automática. Mantener archivos de meses «por si acaso» es, en sí mismo, una infracción.

4. Derechos de las personas grabadas

Cualquier persona captada por las cámaras (cliente, visitante, trabajador…) mantiene sus derechos bajo el RGPD: acceso a las imágenes en las que aparece, solicitud de supresión si no existe causa legal que lo impida, y limitación del tratamiento si las imágenes pudieran ser relevantes en un procedimiento judicial.

El matiz que casi nadie aplica bien: videovigilancia y trabajadores

Una de las zonas grises más sancionadas por la AEPD es el uso de cámaras instaladas con fines de seguridad para, además, vigilar la actividad laboral del personal. La ley lo permite, pero con condiciones estrictas. Según recoge un análisis reciente sobre jurisprudencia en esta materia, no es necesario obtener el consentimiento de los trabajadores para instalar cámaras de seguridad, pero sí debe informárseles de su existencia, habitualmente mediante carteles informativos, y en ningún caso pueden instalarse cámaras que vulneren derechos fundamentales o supongan una vigilancia desproporcionada respecto a la finalidad perseguida.

El problema surge cuando una empresa instala cámaras alegando un fin de seguridad genérico, pero las orienta hacia los puestos de trabajo y las usa para fundamentar sanciones o despidos sin haber informado correctamente de ese uso específico. La AEPD ha tramitado y resuelto varios expedientes precisamente por este motivo, y como detalla un análisis jurídico sobre jurisprudencia reciente en este ámbito, en un caso reciente de diciembre de 2025 sobre una clínica que grababa de forma continua sus gabinetes de trabajo, el expediente se resolvió con una multa de 3.000 euros por la vertiente laboral, rebajada a 2.400 euros por pronto pago, además de la obligación de redirigir las cámaras en el plazo de un mes para evitar la captación excesiva de los puestos de trabajo.

Cuánto puede costar no cumplirlo: casos reales

Las cifras ayudan a entender la magnitud real del riesgo, más allá de la teoría legal. Estos son ejemplos documentados de resoluciones de la AEPD en los últimos años:

Motivo de la sanción	Importe	Fuente
Cámaras orientadas a zona de descanso del personal sin cartel informativo	50.000 €	Recopilatorio de resoluciones AEPD (Aselio)
Falta de contrato de encargo de tratamiento con la empresa gestora de las imágenes	10.000 €	Caso empresa de impresión 3D, Madrid (Infobae, 2025)
Deficiencias graves en el control de acceso a las grabaciones, difundidas sin autorización	20.000 € (reducida a 12.000 € por pago voluntario)	Caso Novates Alimentación (Baylos)
Grabación continua de zonas de trabajo sin informar adecuadamente al personal	3.000 € (reducida a 2.400 €)	Resolución AEPD, diciembre 2025
Ausencia de cartel informativo de videovigilancia	Hasta 3.000 € (rango habitual en pymes)	Informe sanciones AEPD 2025 (Álvarez Real)
Cámara orientada hacia la vía pública o propiedad privada colindante	300 € – 2.000 € (sanciones leves recurrentes)	Recopilatorio de resoluciones AEPD (Aselio)

Estos importes, aunque puedan parecer modestos en los casos más leves, no son anecdóticos en su conjunto. Según la Memoria Anual 2025 de la AEPD, el importe medio de las multas impuestas en 2025 fue de 148.000 euros, un 17% superior al de 2024, en un contexto en el que las reclamaciones ante la Agencia crecieron un 64% respecto al año anterior, hasta superar las 30.000. La propia Agencia señala que la videovigilancia sigue siendo una de las áreas más sensibles, ya que muchas empresas instalan cámaras sin informar correctamente, sin limitar los espacios grabados o sin documentar el tratamiento, y que un solo error aparentemente menor puede derivar en una reclamación formal.

El análisis de ECIJA sobre la evolución sancionadora del organismo en 2025 confirma esta tendencia al alza, señalando que la autoridad dictó 299 sanciones económicas por un importe total de 40 millones de euros, un incremento del 14% respecto al ejercicio anterior, con especial atención a sectores que emplean tecnologías especialmente intrusivas como la biometría o la videovigilancia avanzada. El caso más sonado de ese año fue la sanción de 10 millones de euros a Aena por el uso indebido de sistemas de identificación biométrica en aeropuertos, una cifra que, aunque alejada de la realidad de una pyme, ilustra hacia dónde se dirige el criterio sancionador cuando se trata de tecnologías de vigilancia avanzada mal implementadas.

El cruce con la Ley de Seguridad Privada: lo que cambia si trabajas con una empresa de seguridad

Aquí es donde muchas guías genéricas sobre RGPD se quedan cortas, porque no contemplan la perspectiva de la seguridad privada profesional. El artículo 42 de la Ley 5/2014 define los servicios de videovigilancia de forma específica para el sector, estableciendo límites claros sobre qué puede y qué no puede grabarse. Según recoge el resumen divulgativo de esta normativa elaborado por Studocu a partir del texto legal, las cámaras conectadas a sistemas de seguridad privada están sujetas a reglas concretas: señalización obligatoria, uso de las imágenes limitado a fines de seguridad, conservación máxima de 30 días salvo investigación en curso, acceso restringido solo a personal autorizado, y prohibición expresa de grabar zonas privadas como baños o vestuarios.

Existe además un matiz técnico relevante para cualquier empresa que esté valorando modernizar su sistema: cuando las cámaras forman parte de centrales receptoras de alarmas, hay restricciones sobre cuándo puede accederse a las imágenes en remoto. Como explica un análisis especializado sobre los requisitos legales de estos servicios, el acceso a las imágenes por parte de la central receptora de alarmas solo puede producirse tras haberse generado una señal de alarma, lo que descarta la monitorización continua no justificada salvo que se cumplan condiciones adicionales de autorización.

Esta capa normativa adicional es precisamente la razón por la que instalar un sistema de videovigilancia «genérico» comprado e instalado sin asesoramiento especializado puede dejar a una empresa expuesta en dos frentes a la vez: el de protección de datos y el de seguridad privada. Una instalación diseñada por una empresa de seguridad autorizada contempla ambos marcos desde el origen del proyecto, no como un parche posterior.

Checklist práctico antes de instalar cámaras en tu empresa

A partir de todo lo anterior, estos son los puntos que cualquier responsable de empresa debería verificar antes de poner en marcha un sistema de videovigilancia:

Análisis de necesidad y proporcionalidad: definir por escrito la finalidad concreta (seguridad de personas, bienes, instalaciones) y valorar si existen alternativas menos intrusivas.
Registro de Actividades de Tratamiento: documentar el tratamiento conforme al artículo 30 del RGPD antes de la puesta en marcha.
Cartelería visible en todos los accesos, con la información mínima exigida y, si se desea, combinada con la señalización de seguridad privada.
Definición de zonas excluidas: vestuarios, baños, zonas de descanso, y máscaras de privacidad en cámaras orientables que puedan captar vía pública o fincas colindantes.
Política de conservación: configuración técnica que garantice el borrado automático a los 30 días salvo incidencia documentada.
Restricción de acceso: solo personal autorizado debe poder visualizar o exportar las grabaciones, con trazabilidad de quién accede y cuándo.
Contrato de encargado de tratamiento con la empresa instaladora o gestora del sistema, especialmente si esta tiene acceso a las imágenes o a su almacenamiento.
Información específica a los trabajadores si las cámaras, además de la seguridad general, van a usarse también con fines de control laboral.
Verificación de la habilitación de la empresa instaladora cuando el sistema se conecte a una CRA o a un centro de control, dado que estos servicios solo pueden prestarlos empresas de seguridad privada autorizadas conforme al artículo 42 de la Ley 5/2014.

Por qué este enfoque importa más allá de evitar una multa

Más allá de la cuantía económica, una instalación que no cumple estos requisitos puede tener una consecuencia todavía más grave para una empresa: que las imágenes grabadas no puedan utilizarse como prueba válida en caso de robo, intrusión o conflicto, precisamente porque el tratamiento de esos datos fue irregular desde el origen. Una empresa que invierte en un sistema de seguridad lo hace para protegerse; un diseño que ignora el marco legal puede acabar invalidando esa protección en el momento en que más se necesita.

Por eso, en proyectos de seguridad para empresas, el cumplimiento normativo no debería plantearse como un trámite posterior a la instalación, sino como parte del diseño del sistema desde el primer momento: ubicación de cámaras, ángulos de grabación, política de conservación y documentación legal deben definirse junto con la arquitectura técnica del proyecto, no después de ella.

Preguntas frecuentes sobre RPGD en videovigilancia

¿Es obligatorio poner un cartel de videovigilancia en mi empresa?

Sí. El RGPD y la LOPDGDD exigen colocar un cartel visible en todos los accesos a la zona videovigilada que informe de la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercer los derechos de protección de datos. No hacerlo es una de las infracciones más sancionadas por la AEPD, con multas que en pymes han alcanzado los 3.000 euros.

¿El cartel de videovigilancia tiene que ser homologado o tener un tamaño concreto?

No. La propia AEPD ha aclarado que no existe ningún criterio oficial sobre dimensiones mínimas: el cartel debe ser acorde al espacio donde se ubique y su contenido debe resultar claro, sencillo y comprensible. Sí es posible combinar en un único cartel la información exigida por el RGPD y la requerida por la normativa de seguridad privada.

¿Cuánto tiempo puedo conservar las grabaciones de mis cámaras de seguridad?

Como norma general, un máximo de 30 días. Pasado ese plazo sin que se haya producido ninguna incidencia, las imágenes deben eliminarse de forma automática. Solo pueden conservarse más tiempo si existe un incidente concreto que justifique su uso como prueba.

¿Puedo instalar cámaras que graben la vía pública o la calle frente a mi negocio?

No. Estas zonas quedan excluidas por afectar gravemente a la intimidad de las personas. Es precisamente uno de los motivos de sanción más graves detectados por la AEPD, con multas que han alcanzado los 50.000 euros en casos de cámaras orientadas a zonas de descanso sin cartel informativo.

¿Qué pasa si mi empresa de mantenimiento o instalación tiene acceso a las grabaciones?

Si la empresa instaladora o gestora del sistema puede acceder a las imágenes o a su almacenamiento, es obligatorio firmar con ella un contrato de encargado de tratamiento. La ausencia de este contrato ha sido sancionada por la AEPD con multas de hasta 10.000 euros, al no quedar claras las responsabilidades sobre la seguridad de los datos.