La Autoridad Catalana de Protección de Datos (APDCAT) ha aprobado la Circular 1/2026 sobre el tratamiento de datos personales con cámaras de videovigilancia. Se trata de una disposición de obligado cumplimiento en su ámbito de actuación (administraciones, entidades públicas, universidades, colegios profesionales y entidades privadas cuando ejercen funciones públicas).
El documento sustituye a la anterior Instrucción 1/2009, de 10 de febrero, sobre el tratamiento de datos de carácter personal mediante cámaras con fines de videovigilancia, que se elaboró para concretar la aplicación de los principios y garantías que establecía la Ley orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter.
Esta circular responde a la necesidad de adecuarse a los cambios normativos y jurisprudenciales producidos desde la aprobación de la Instrucción, entre los que destacan la aprobación del Reglamento general de protección de datos (Reglamento (UE) del Parlamento y del Consejo, de 27 de abril de 2016); la Ley orgánica 3/2018, de protección de datos y garantía de los derechos digitales; la Ley orgánica 7/2021, de 26 de mayo, de protección de datos personales tratados para fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y de ejecución de sanciones penales; la modificación de la Ley 5/2014, de 4 de abril, de seguridad privada; y la aprobación del Reglamento de inteligencia artificial.
Aspectos más destacados
La circular consta de una exposición de motivos; 23 artículos repartidos en 6 capítulos, dedicados a las disposiciones generales; principios aplicables al tratamiento de videovigilancia; obligaciones del responsable; transparencia; derechos de acceso, rectificación, supresión, limitación del tratamiento y oposición; y seguridad de los datos personales. Incorpora también una disposición transitoria, una disposición derogatoria y una disposición final, además de un anexo que contiene la información y el diseño de los carteles informativos a colocar antes de la captación de imágenes y voces.
Como aspectos más relevantes, destacan los siguientes:
- Amplía su ámbito de aplicación a nuevos dispositivos que permiten la captación y transmisión de imágenes y voces, como cámaras instaladas en drones, vehículos o dispositivos incorporados a la indumentaria de las personas.
- Delimita su ámbito de aplicación, diferenciando entre los supuestos excluidos por inexistencia de tratamiento de datos personales o por la aplicación de la excepción doméstica, y otros tratamientos de datos que, a pesar de estar sujetos a la normativa de protección de datos, quedan fuera del ámbito material de la Circular.
- Actualiza el catálogo de definiciones, para adaptarlo a la terminología del RGPD y del LOPDGDD. En particular, se incorporan los conceptos de dato personal, datos biométricos, anonimización, vía pública y espacio público; se amplían las definiciones de tratamiento y de persona identificable, de acuerdo con la normativa europea; y se sustituye el concepto de disociación por el de anonimización.
- Adapta los principios aplicables al tratamiento de videovigilancia en la terminología y las exigencias del RGPD. En particular, sustituye el principio de legitimidad del tratamiento por el de licitud. Además identifica los tratamientos de videovigilancia que no se consideran legítimos en ningún caso, añadiendo los lugares donde los trabajadores realizan sus actividades más íntimas o de recreo, así como las habitaciones de residencias, hoteles y similares, salvo que existan intereses legítimos superiores.
- Mantiene la obligación de elaborar una memoria previa antes de implantar un sistema de videovigilancia, pero prevé que esto no sea exigible cuando el tratamiento deba ser objeto de una evaluación de impacto relativa a la protección de datos.
- Incorpora obligaciones derivadas del principio de responsabilidad proactiva, como llevar un registro de actividades de tratamiento, efectuar evaluaciones de impacto cuando sea necesario y designar a un delegado de protección de datos, en los supuestos previstos por la normativa.
- Concreta, en el ámbito de la videovigilancia, la relación entre el responsable y el encargado del tratamiento y la formalización del encargo del tratamiento, incluidos los supuestos en los que intervienen empresas de seguridad privada.
- Amplía la información que se debe facilitar a las personas interesadas y adapta el modelo de información por capas previsto en la normativa vigente. De esta forma, los carteles deben incluir, como mínimo, la identidad del responsable, la indicación de la existencia del tratamiento, la posibilidad de ejercer derechos y el acceso a información adicional, también mediante códigos QR u otros sistemas equivalentes.
- Establece obligaciones específicas de información cuando se utilicen cámaras móviles, drones, dispositivos instalados en vehículos o sistemas incorporados en la indumentaria.
- Incorpora la posibilidad de que las personas se dirijan al delegado de protección de datos del responsable del tratamiento, para ejercer sus derechos (acceso, supresión, etc.).
- Introduce una disposición específica sobre sistemas de videovigilancia que incorporen inteligencia artificial, en referencia expresa al Reglamento Europeo de Inteligencia Artificial.