(Por SoySeguridadPrivada) – La Circular 1/2026 de la Autoritat Catalana de Protecció de Dades actualiza las reglas sobre cámaras, grabaciones y tecnologías de videovigilancia. Entra en vigor el 8 de noviembre de 2026 y afecta a los tratamientos comprendidos en el ámbito de competencia de la APDCAT. Para los servicios de seguridad, el cambio obliga a prestar atención a los procedimientos de acceso, conservación y uso de imágenes.
La videovigilancia forma parte del trabajo diario de miles de vigilantes. Cámaras en accesos, pasillos, aparcamientos y centros de control permiten verificar incidencias, pero también tratan datos personales. La nueva circular sustituye la instrucción catalana de 2009 y actualiza sus criterios a las tecnologías y normas actuales.
¿A qué servicios afecta realmente?
La circular no establece obligaciones nuevas para todas las empresas privadas de España. Su ámbito se circunscribe a los tratamientos sujetos a la APDCAT: administraciones públicas catalanas y determinadas entidades de su sector público o vinculadas a funciones públicas, según el caso. Puede ser especialmente relevante en edificios administrativos, instalaciones municipales, universidades y otros servicios incluidos en ese ámbito. Las instalaciones privadas ajenas a él siguen sometidas a su normativa de protección de datos correspondiente.
Drones, cámaras corporales e inteligencia artificial
La regulación contempla cámaras instaladas en drones, vehículos y dispositivos incorporados a la indumentaria, además de sistemas fijos. También aborda tecnologías de inteligencia artificial y cuestiones vinculadas a los datos biométricos y la anonimización. Regular una tecnología no equivale a autorizar cualquier uso. Cada tratamiento necesita una finalidad y base jurídica adecuadas.
Las imágenes no pueden utilizarse para cualquier finalidad
Una cámara colocada para proteger un acceso no convierte sus imágenes en un recurso disponible para cualquier propósito. Deben respetarse los principios de necesidad, proporcionalidad y minimización de datos, así como las limitaciones de captación en espacios especialmente sensibles. Para el vigilante, lo fundamental es operar dentro de las finalidades e instrucciones autorizadas.
Grabaciones: ver no es lo mismo que entregar
El plazo general de conservación sigue siendo de un mes, sin perjuicio de las excepciones legales para conservar imágenes relacionadas con hechos que lo justifiquen. Visualizar una grabación para comprobar una incidencia no significa estar autorizado para copiarla, descargarla o entregarla a terceros. Las extracciones y cesiones deben seguir el procedimiento del responsable del tratamiento.
Información y documentación
La circular actualiza las exigencias de información a las personas afectadas y la documentación del sistema. La señalización debe identificar al responsable y facilitar información sobre el tratamiento y los derechos correspondientes. Cuando proceda, también deberán revisarse las evaluaciones de impacto y las medidas de seguridad.
Desde la garita: ¿qué cambia para el vigilante?
Pensemos en un servicio de vigilancia de un edificio público. Un visitante dice que le han robado y quiere ver las cámaras. Otro solicita una copia. Más tarde, alguien pide revisar imágenes relacionadas con un trabajador. Son situaciones habituales, pero el vigilante no debería improvisar quién puede acceder a las grabaciones. Su función es verificar incidencias dentro de sus atribuciones y aplicar instrucciones claras, no decidir por su cuenta sobre protección de datos.
Esta norma ofrece una oportunidad para comprobar si los procedimientos existen, están actualizados y se han explicado a los operadores. No basta con enseñar a manejar el CCTV: también hay que explicar qué puede hacerse con las imágenes, qué no debe hacerse y a quién derivar cada solicitud.
Qué deben revisar jefes y directores de seguridad
En las instalaciones afectadas conviene comprobar finalidades, ubicación de cámaras, señalización, documentación, perfiles de acceso, conservación y procedimientos de extracción o cesión. La incorporación de drones, cámaras corporales o analítica inteligente exige especial atención. También deben revisarse las responsabilidades cuando intervienen proveedores o empresas externas de seguridad.
Tecnología avanzada, procedimientos claros
Los sistemas modernos pueden detectar eventos, compartir información y automatizar avisos. Pero cuanto más hacen, más importante es definir quién puede usar los datos y para qué. La protección de datos no debe convertirse en otra responsabilidad que termina recayendo sobre el vigilante sin formación ni instrucciones. Si las cámaras son más inteligentes, los procedimientos también deberían serlo.
