La Agencia Española de Protección de Datos (AEPD) ha sancionado a un restaurante con 1.000 euros por el uso inadecuado de cámaras de videovigilancia, diferenciando claramente entre un uso legítimo con fines de seguridad y una captación desproporcionada de clientes sin la debida información.
Desde la perspectiva de cumplimiento normativo, este caso resulta especialmente relevante para el sector de la hostelería y para cualquier organización que utilice sistemas de videovigilancia.
Los hechos
La Agencia realizó una distinción fundamental entre:
- Cámaras interiores (zona de caja)
La AEPD consideró que las cámaras orientadas a la caja registradora podían estar justificadas por razones de seguridad, prevención de hurtos o control patrimonial.
En este caso:
- La finalidad era legítima.
- La ubicación y altura resultaban coherentes con dicha finalidad.
- No se apreciaba vulneración del principio de minimización del artículo 5 del RGPD.
- Cámaras exteriores (mesas de clientes)
La conclusión fue distinta respecto a las cámaras situadas en la terraza.
La AEPD señaló que:
- captaban directamente la zona donde los clientes permanecen durante largos periodos.
- afectaban no sólo al derecho a la protección de datos, sino también a la intimidad.
- No se justificaban adecuadamente por razones de seguridad.
- vulneraban el principio de minimización, al resultar una medida desproporcionada para la finalidad alegada.
Por este motivo, se impuso una primera sanción de 500 euros.
- Incumplimiento del deber de información
Además, la Agencia detectó un segundo incumplimiento relevante: la ausencia total de información conforme al artículo 13 del RGPD.
No existía:
- Cartelería visible de zona videovigilada.
- Información básica sobre responsable, finalidad o ejercicio de derechos.
- Dispositivo informativo en interior o exterior del establecimiento.
Aunque no se acreditó que el sistema se utilizara con fines de control laboral (lo que habría implicado obligaciones adicionales), la AEPD recordó que sí existe obligación de informar a cualquier interesado cuyos datos puedan ser tratados.
Por esta infracción se impuso una segunda sanción de 500 euros.
Resultado final
- Sanción total: 1000 euros
- Reducción por pronto pago (20%): 800 euros
- Pago realizado sin reconocimiento de responsabilidad
Claves de cumplimiento para el sector
Este caso deja varias lecciones prácticas:
- Justificación y proporcionalidad
No toda zona del establecimiento puede ser objeto de grabación. Es imprescindible:
- Analizar la finalidad.
- Aplicar el principio de minimización.
- Evitar captar espacios donde la expectativa de privacidad sea elevada.
- Evaluación previa
En determinados supuestos puede ser recomendable realizar una evaluación de impacto si el tratamiento implica riesgos elevados para los derechos y libertades de las personas.
- Información visible y accesible
Toda instalación de videovigilancia debe incluir:
- Cartel informativo visible.
- Identificación del responsable.
- Referencia a la finalidad.
- Indicación de cómo ejercer derechos.
- Información adicional accesible (segunda capa).
- Política interna documentada
Es aconsejable disponer de:
- Registro de actividades de tratamiento.
- Contrato con empresa instaladora (si actúa como encargado).
- Política de conservación de imágenes (máximo 30 días, salvo excepciones).
Conclusión
La videovigilancia es una herramienta legítima de seguridad, pero su uso exige un análisis riguroso desde la óptica del RGPD. La diferencia entre proteger la caja registradora y grabar de forma continuada a los clientes en sus mesas ha resultado determinante en esta resolución.
En materia de protección de datos, la proporcionalidad y la transparencia no son recomendaciones: son obligaciones.
Si tu organización utiliza sistemas de videovigilancia, este es un buen momento para revisar su adecuación normativa y evitar riesgos sancionadores.
