Respuesta directa: el cartel de videovigilancia debe contener, como mínimo, que la zona está videovigilada, la identidad del responsable del tratamiento, cómo ejercer los derechos de protección de datos y dónde ampliar la información (la llamada segunda capa). Debe estar en un lugar visible en cada acceso a la zona vigilada. Las imágenes se conservan un máximo de 30 días desde su captación, salvo que deban guardarse para acreditar un incidente o por requerimiento policial o judicial; pasado ese plazo hay que suprimirlas. Todo ello está fijado en la Guía sobre el uso de videocámaras de la AEPD, que incluye además un modelo de cartel descargable.
¿Qué debe contener el cartel de videovigilancia para no ser sancionado?
El cartel debe informar de cuatro cosas en un formato visible y comprensible antes de entrar en la zona vigilada. Según la guía de videovigilancia de la AEPD, el distintivo informativo (primera capa) tiene que incluir:
- La existencia del tratamiento: el icono o texto de zona videovigilada.
- La identidad del responsable del tratamiento (quién graba).
- La finalidad (habitualmente seguridad) y la base jurídica.
- Una referencia a dónde y cómo ejercer los derechos de acceso, rectificación, supresión, etc.
- Dónde consultar la información ampliada (segunda capa): un documento a disposición del afectado con el detalle del art. 13 RGPD.
El cartel debe colocarse en cada acceso a la zona vigilada y en lugar suficientemente visible. La ausencia del cartel, por sí sola, es una infracción del deber de información (art. 13 RGPD) y uno de los hallazgos más habituales en las inspecciones.
¿Cuánto tiempo pueden conservarse las imágenes?
El plazo máximo de conservación es de 30 días desde la captación de las imágenes. La guía de la AEPD es clara: las grabaciones deben suprimirse en un plazo máximo de un mes, salvo que deban conservarse para acreditar la comisión de actos que atenten contra la seguridad (un incidente, un hurto, una agresión) o por requerimiento policial o judicial. En ese caso, las imágenes relevantes se bloquean y custodian como evidencia, pero el resto se sigue borrando.
La buena práctica es que el borrado sea automatizado: que el sistema sobrescriba o elimine las imágenes al cumplirse el plazo, sin depender de una acción manual que puede olvidarse. Conservar las grabaciones “por si acaso” más allá de 30 días, sin causa que lo justifique, es un incumplimiento del principio de limitación del plazo de conservación (art. 5.1.e RGPD).
¿Por qué es de los incumplimientos más sancionados en pymes?
Es de los más sancionados porque es el más fácil de cometer y el más fácil de probar. No requiere una brecha sofisticada ni un tratamiento masivo: basta una cámara que enfoque de forma continua un puesto de trabajo, una que grabe una zona de descanso o la simple ausencia del cartel. Cualquiera de esos hechos se constata con una visita y una foto.
Además, las denuncias suelen venir de dentro: un trabajador que se siente vigilado, un paciente o un cliente que ve una cámara donde no debería. Las quejas por videovigilancia están año tras año entre las más frecuentes que recibe la AEPD. Para una pyme, el riesgo no es teórico: las cámaras se ven, el cartel se ve (o se nota su ausencia) y la base jurídica documentada o no existe o no se encuentra cuando llega la inspección.
¿Qué caso real ilustra el riesgo?
Un caso real reciente es el de la clínica dental Axarquía Vélez Dental S.L. (Vélez-Málaga). La AEPD constató que el centro tenía once cámaras en el interior - recepción, gabinetes dentales, pasillos, almacén, laboratorio y despacho de dirección - sin el cartel obligatorio de zona videovigilada y enfocando de forma permanente los puestos de trabajo, además de grabar zonas donde se atiende a pacientes.
La Agencia rechazó el argumento de que los trabajadores habían “consentido”: el documento que firmaron no era un consentimiento válido, sino un mero “recibí” informativo. Resultado: sanción por captación excesiva de los puestos de trabajo y por la falta de información, con reducción por pago voluntario; el importe exacto y el desglose constan en la resolución oficial enlazada más abajo.
Puedes consultar la resolución en la fuente oficial: PS-00063-2025 (aepd.es). Es el ejemplo de libro de los tres errores que más se repiten: enfocar puestos de trabajo de forma continua, grabar zonas sensibles y no poner el cartel.
¿Qué checklist aplico a cada tipo de cliente con cámaras?
El checklist base es el mismo, pero cada tipo de cliente tiene un punto crítico propio. Repásalo así:
Checklist común (todos):
- Cartel de zona videovigilada en cada acceso, con responsable, derechos y referencia a la información ampliada.
- Información de segunda capa disponible (documento del art. 13 RGPD).
- Base jurídica documentada (normalmente interés legítimo o cumplimiento de obligación legal; el consentimiento rara vez sirve en el ámbito laboral).
- Conservación máxima de 30 días, con borrado idealmente automatizado.
- Registro de actividades del tratamiento (RAT) que incluya la videovigilancia.
Por tipo de cliente:
- Clínica / centro sanitario. Punto crítico: no grabar consultas ni boxes de tratamiento (datos de salud, intimidad reforzada) y no enfocar de forma continua al personal. Cámaras solo en accesos y zonas comunes de seguridad.
- Comercio. Punto crítico: las cámaras pueden cubrir la zona de venta y cajas, pero no la trastienda como control del empleado de forma permanente ni la vía pública más allá de lo imprescindible.
- Gimnasio. Punto crítico: prohibido en vestuarios, aseos y duchas; en la sala de máquinas, fin de seguridad y cartel visible. Cuidado con el sonido (la grabación de audio es especialmente intrusiva y rara vez justificable).
- Oficina. Punto crítico: videovigilancia laboral proporcional, sin enfocar puestos de trabajo de forma continua ni grabar zonas de descanso. Información previa y específica al trabajador, además del cartel.
- Comunidad de propietarios. Punto crítico: las cámaras solo pueden captar zonas comunes, no la vía pública ni accesos a viviendas de vecinos; el acuerdo de la junta y el responsable (la comunidad) deben constar, y el cartel debe estar en cada acceso.
Para un DPO con cartera, lo útil no es tener el checklist, sino saber a qué cliente se le aplica cada punto crítico y dejar traza de la última revisión. Eso convierte una guía genérica en trabajo concreto sobre un expediente concreto.
Con Vigía DPO marcas en tu cartera los clientes con cámaras y te avisamos si la AEPD endurece el criterio de videovigilancia o publica una resolución relevante, con el enlace oficial listo para tu expediente.
Preguntas frecuentes
¿Qué debe contener el cartel de videovigilancia según el RGPD?
El cartel debe indicar que la zona está videovigilada, la identidad del responsable del tratamiento, cómo y dónde ejercer los derechos de protección de datos, y dónde consultar la información ampliada (capa 2). Debe colocarse en un lugar visible en cada acceso a la zona vigilada. La AEPD ofrece un modelo de cartel en su guía de videovigilancia.
¿Cuánto tiempo se pueden conservar las imágenes de videovigilancia?
El plazo máximo de conservación es de 30 días desde la captación, salvo que deban conservarse para acreditar un hecho (incidente de seguridad, requerimiento policial o judicial). Transcurrido ese plazo, las imágenes deben suprimirse, idealmente de forma automatizada.
¿Por qué sanciona la AEPD tanto la videovigilancia en pymes?
Porque es el incumplimiento más fácil de cometer y de demostrar en inspección: basta una cámara enfocando un puesto de trabajo de forma continua o la ausencia del cartel obligatorio. Las quejas por videovigilancia están entre las más frecuentes y muchas terminan en procedimiento sancionador, con importes que en pymes suelen moverse en miles de euros.
¿Puede una empresa grabar a sus empleados con cámaras de videovigilancia?
Solo de forma proporcional y con información previa. No se pueden enfocar puestos de trabajo de manera permanente ni grabar zonas de descanso, vestuarios o aseos. El consentimiento del trabajador rara vez es base jurídica válida; la base suele ser el interés legítimo del empleador, que debe documentarse junto con la información previa al trabajador.