Imágenes de videovigilancia: cómo entregarlas sin una multa de la AEPD

Derecho de acceso a imágenes de videovigilancia: lo que sancionó la AEPD y un protocolo en 5 pasos para entregar vídeos sin exponer a nadie.

En España, buena parte de los expedientes de videovigilancia no nacen de la cámara, sino del momento en que alguien pide o recibe una grabación. Dos casos recientes lo ilustran: Mercadona, con 170.000 euros, y un supermercado madrileño, con 12.000 euros tras enviar un vídeo por WhatsApp. Para abogados, delegados de protección de datos y responsables de cumplimiento, la clave es un procedimiento de entrega que proteja a terceros. Gallio PRO localiza y difumina de forma automática rostros y matrículas en las grabaciones.

Dos sanciones, un mismo punto débil

Quien asesora a empresas sobre videovigilancia suele centrarse en la instalación: ubicación de las cámaras, cartel informativo, registro de actividades. Sin embargo, las resoluciones de la Agencia Española de Protección de Datos muestran que el riesgo real aparece más tarde, cuando una grabación sale del sistema.

• Mercadona, 170.000 euros. Una clienta sufrió un accidente en un establecimiento, presentó una queja y después solicitó las imágenes de la cámara. Cuando el delegado de protección de datos contestó, el material ya no existía. La AEPD impuso 70.000 euros por no atender el derecho de acceso y 100.000 euros por haber suprimido unas imágenes que la empresa sabía necesarias. Tampoco prosperó el argumento de que la petición había llegado por el canal de denuncias y no por el de protección de datos.

• Un supermercado madrileño, 12.000 euros (procedimiento PS/00345/2024). Tras una discusión por una devolución, una empleada mostró a la clienta, desde su propio teléfono, un vídeo de la zona de caja y se lo remitió por WhatsApp. El archivo no procedía de una exportación, sino de una filmación del monitor con un teléfono, y en él se veía además a dos clientes más. La AEPD apreció una vulneración de la seguridad exigida por el artículo 32 del RGPD. La multa de 20.000 euros se redujo a 12.000 euros al aplicarse las reducciones por reconocimiento de responsabilidad y pago voluntario.

En el primer caso la empresa entregó demasiado poco y demasiado tarde. En el segundo, entregó de la peor manera posible. Ambos errores se evitan con un mismo protocolo.

El marco jurídico en cinco referencias

• Artículo 15 del RGPD: la persona grabada puede obtener una copia de las imágenes en las que aparece.

• Artículo 15.4 del RGPD: esa copia no puede perjudicar los derechos y libertades de otras personas.

• Artículo 12.3 del RGPD: la respuesta debe darse en un mes, con una posible prórroga de dos meses si la solicitud es compleja.

• Artículo 22.3 de la LOPDGDD: las grabaciones se eliminan como tarde al mes, excepto si sirven para probar hechos ilícitos; entonces se entregan a la autoridad en un plazo de 72 horas.

• Artículo 32 del RGPD: el responsable debe garantizar un nivel de seguridad adecuado, lo que incluye controlar quién visiona y quién exporta las imágenes.

Cuando se graba a la plantilla, la LOPDGDD, en su artículo 89, exige además informar a los trabajadores de manera previa, expresa y clara, y prohíbe las cámaras en vestuarios, aseos y zonas de descanso.

Dónde fallan las empresas

La experiencia de los expedientes permite identificar errores que se repiten:

• El borrado automático sigue su curso. Si existe una queja o una reclamación, la empresa sabe que las imágenes serán necesarias. Dejar que el sistema las sobrescriba al cumplirse el mes es precisamente lo que se sancionó a Mercadona.

• La solicitud se pierde entre departamentos. Un correo al servicio de atención al cliente o una queja en tienda pueden constituir un ejercicio válido del derecho de acceso. El plazo empieza a contar desde que la empresa la recibe, no desde que llega al delegado.

• Cualquiera puede ver el monitor. Si el personal de caja tiene acceso a las grabaciones y puede filmarlas con su móvil, la empresa no controla el tratamiento.

• La copia se entrega sin revisar. Otros clientes, compañeros de trabajo, vehículos con la matrícula legible, pantallas con datos o documentos visibles: cada uno de ellos es un tercero cuyos derechos protege el artículo 15.4.

Protocolo de entrega en cinco pasos

1. Registrar la solicitud. Anote la fecha de recepción, verifique la identidad del solicitante y pida la fecha, la hora y la cámara aproximadas.

2. Bloquear la supresión. Exporte el fragmento desde el propio sistema de grabación, nunca filmando la pantalla, y excluya ese archivo del borrado automático mientras se tramita la petición.

3. Identificar a los terceros. Revise la secuencia completa y anote quién y qué aparece, además del solicitante.

4. Anonimizar con Gallio PRO. El programa detecta en la grabación cada rostro y cada matrícula y los vuelve ilegibles sin intervención manual. Pantallas, tarjetas identificativas o documentos se ocultan con el editor manual integrado. Gallio PRO no guarda registros de detección ni datos personales.

5. Entregar y documentar. Utilice un canal corporativo controlado, nunca un servicio de mensajería privado, y deje constancia de qué se entregó, a quién, cuándo y qué se ocultó.

Por qué el difuminado manual no basta

Muchas empresas todavía intentan ocultar a terceros fotograma a fotograma con un editor de vídeo. Un fragmento de dos minutos grabado a 25 imágenes por segundo supone unos 3.000 fotogramas. Basta con que un rostro quede visible durante un instante para que la copia vuelva a exponer a una persona ajena a la solicitud. La detección automática de rostros y matrículas reduce ese riesgo y deja el tiempo del equipo para lo que no puede automatizarse: la revisión final.

Qué conviene revisar con el cliente

Para un despacho o un delegado de protección de datos, estos casos son un buen argumento para auditar algo más que la cartelería. Conviene comprobar quién tiene acceso a las grabaciones, cómo se exportan, cuánto tiempo se conservan, cómo se atienden las solicitudes y con qué herramienta se protege a terceros. Puede hacer una primera comprobación de cumplimiento de videovigilancia en pocos minutos.

Preguntas frecuentes

¿Puede una empresa negarse a entregar una grabación porque salen otras personas?

Como regla general, no. Lo que exige el artículo 15.4 del RGPD es proteger a esos terceros, y la forma práctica de hacerlo es difuminarlos antes de facilitar la copia.

¿Qué ocurre si las imágenes se borran tras recibir una queja?

La AEPD puede considerarlo una infracción autónoma. En el caso Mercadona, la supresión de unas imágenes que la empresa sabía necesarias supuso 100.000 euros de los 170.000 euros de sanción.

¿Se puede enviar un vídeo de las cámaras por WhatsApp?

No. La mensajería privada no ofrece control de acceso ni trazabilidad. En el expediente del supermercado madrileño, remitir así una filmación del monitor hecha con un teléfono fue parte de la conducta sancionada.

¿Cuál es la multa máxima por fallos de seguridad en videovigilancia?

Cuando se vulnera el artículo 32 del RGPD, el artículo 83.4 fija como tope el importe mayor entre 10 millones de euros y el 2 % de la facturación mundial del ejercicio anterior.

¿Cuánto tiempo hay para responder a una solicitud de acceso?

Un mes desde la recepción, prorrogable dos meses más en casos complejos, siempre que se informe al solicitante dentro del primer mes.