¿Es legal contar personas con cámaras? Lo que dice el RGPD

Quieres saber cuánta gente entra en tu biblioteca, en tu tienda o en la fiesta mayor, y alguien te propone hacerlo con cámaras. Enseguida aparece la duda: ¿es legal?, ¿estoy grabando a la gente?, ¿necesito un cartel? La respuesta corta es que sí se puede, pero no todos los sistemas son iguales. Este artículo explica qué dice la normativa, qué opciones hay y qué preguntar antes de contratar.

Este artículo es informativo y no sustituye el asesoramiento jurídico. Para tu caso concreto, consulta con tu asesoría o con tu delegado de protección de datos.

Contar, identificar y videovigilar no son lo mismo

Tres cosas que a menudo se mezclan:

• Contar es saber cuántas personas cruzan un acceso o están dentro. El resultado es un número.
• Identificar es saber quién es una persona: por su cara, por una matrícula o cruzando datos.
• Videovigilar es usar cámaras para la seguridad de personas, bienes o instalaciones, normalmente grabando las imágenes para poder revisarlas.

Las directrices del Comité Europeo de Protección de Datos sobre dispositivos de vídeo ya distinguen entre técnicas de análisis de vídeo más intrusivas, como las biométricas, y otras menos intrusivas, como los «simples algoritmos de recuento» (Directrices 3/2019, apartado 3). La normativa es la misma, pero las obligaciones concretas y el riesgo cambian mucho de un caso a otro.

Cuándo una imagen es un dato personal

El RGPD define dato personal como «toda información sobre una persona física identificada o identificable» (artículo 4.1). Una imagen en la que se puede reconocer a alguien lo es. Y «tratamiento» es casi cualquier operación con esos datos, incluida la recogida o la consulta (artículo 4.2).

De ahí salen dos ideas importantes:

1. Aunque no se grabe, hay tratamiento. La AEPD lo dice expresamente para las cámaras que solo permiten ver en tiempo real: con el RGPD, también deben incluirse en el registro de actividades de tratamiento, «ya que existe un tratamiento» (Guía sobre el uso de videocámaras para seguridad y otras finalidades).
2. El número final puede ser anónimo. El RGPD no se aplica a la información anónima, incluida la que se usa con fines estadísticos (considerando 26). Una cifra como «342 entradas entre las 10 y las 11» no dice nada de nadie.

Es decir: el riesgo está en las imágenes, no en el número. Cuanto menos tiempo existan, menos personas las vean y menos lugares recorran, mejor.

¿Y los datos biométricos? Son una categoría especial (artículo 9 del RGPD) cuando permiten identificar de forma unívoca a una persona, como en el reconocimiento facial. El CEPD aclara que cuando la finalidad es distinguir personas pero no identificarlas de forma unívoca, el tratamiento no entra en el artículo 9 (Directrices 3/2019, apartado 80).

Las formas de contar con cámaras, de más a menos datos

1. Cámaras de seguridad que graban y alguien cuenta después

Se aprovechan las grabaciones de la videovigilancia para contar, a mano o con un programa.

• Implica: imágenes grabadas y almacenadas, personas que las visionan y una segunda finalidad sobre unas imágenes captadas para la seguridad, que hay que justificar e informar.
• Ojo: las imágenes de videovigilancia deben suprimirse en el plazo máximo de un mes desde su captación, salvo que acrediten actos contra personas, bienes o instalaciones (artículo 22.3 de la LOPDGDD).

2. Vídeo enviado a un servidor externo que cuenta

La cámara envía el vídeo a un servidor (en la nube) donde se hace el análisis.

• Implica: las imágenes salen del recinto. Hay que saber dónde se procesan (dentro o fuera de la UE), cómo viajan, quién puede acceder y si se guardan, aunque sea temporalmente.

3. Análisis en un dispositivo del propio recinto, solo salen números

Un equipo junto a la cámara analiza la imagen en el momento, cuenta las personas que cruzan una línea y envía solo cifras al panel.

• Implica: sigue habiendo captación de imágenes, así que las obligaciones de información y documentación no desaparecen. Pero las imágenes no salen del recinto ni se guardan, y lo que se almacena y se consulta son datos agregados.
• Es la opción que mejor encaja con la protección de datos desde el diseño y por defecto que exige el artículo 25 del RGPD: tratar por defecto solo los datos necesarios para cada fin, también en cantidad, plazo de conservación y accesibilidad.

4. Sin cámaras

Contadores manuales, barreras de infrarrojos o torniquetes cuentan sin captar imágenes. Tienen otras limitaciones de precisión y de coste, que repasamos en cómo justificar el número de asistentes a tu evento. El CEPD recuerda que la videovigilancia no es necesaria por defecto cuando hay otros medios para conseguir la misma finalidad (apartado 5), así que vale la pena plantearse la pregunta.

Comparativa rápida

Opción	¿Se graban imágenes?	¿Salen imágenes del recinto?	Qué se guarda	Exposición de datos
Grabaciones de seguridad	Sí	Depende del sistema	Vídeo (máx. un mes, por norma)	Alta
Análisis en servidor externo	Depende del proveedor	Sí	Depende del proveedor	Media o alta
Análisis en el dispositivo	No	No	Solo cifras	Baja
Sin cámaras	No hay imágenes	No	Cifras	Mínima

El cartel informativo: qué dice la AEPD

Para la videovigilancia con fines de seguridad, la LOPDGDD concreta el deber de información: basta un dispositivo informativo en lugar suficientemente visible que identifique, al menos, la existencia del tratamiento, la identidad del responsable y la posibilidad de ejercer los derechos de los artículos 15 a 22 del RGPD, y puede incluir una dirección web con más información (artículo 22.4). La AEPD pide colocarlo en lugar visible y, como mínimo, en los accesos a la zona vigilada, y ofrece un modelo de cartel en su guía.

Contar personas no es, en principio, una finalidad de seguridad, así que ese artículo no es el que se aplica directamente. Pero la AEPD recuerda que cuando las cámaras se usan para otras finalidades también hay que cumplir las obligaciones y principios del RGPD (guía citada, apartado 4.1), entre ellas informar a las personas (artículo 13). El CEPD recomienda hacerlo en dos niveles (Directrices 3/2019, apartados 114 a 117):

• Primer nivel, el cartel: finalidad (por ejemplo, «conteo de aforo»), quién es el responsable, que existen derechos y dónde está la información completa. Debe verse antes de entrar en la zona.
• Segundo nivel: el resto de la información del artículo 13, en un lugar fácil de consultar (recepción, una web, un código QR), también sin necesidad de entrar.

Si las cámaras cuentan y no graban, dilo en el cartel: evita malentendidos.

Cuánto tiempo se pueden guardar los datos

• Imágenes de videovigilancia: un mes como máximo, con la excepción ya citada (artículo 22.3 de la LOPDGDD). El CEPD añade que, en general, deberían borrarse en pocos días y que, cuanto más se conserven (especialmente más de 72 horas), más hay que justificarlo (apartado 121).
• Imágenes procesadas para contar: lo ideal es que no se guarden en ningún momento.
• Cifras agregadas: si son realmente anónimas, el RGPD no se aplica y puedes conservarlas para tus informes. Asegúrate de que no incluyen nada que permita volver a identificar a alguien.

Otras obligaciones que no conviene olvidar

• Registro de actividades de tratamiento, incluso si no se graba, como indica la AEPD.
• Contrato de encargado del tratamiento con el proveedor si trata datos por tu cuenta (artículo 28 del RGPD).
• Evaluación de impacto: el RGPD la exige, entre otros casos, en la observación sistemática a gran escala de una zona de acceso público (artículo 35.3.c). Valora con tu asesoría si tu caso lo es.
• Trabajadores: si las cámaras captan también a empleados, hay reglas específicas (artículo 89 de la LOPDGDD), como informarles antes de forma expresa, clara y concisa.

Qué preguntar al proveedor

Pide las respuestas por escrito:

1. ¿Dónde se analiza la imagen? ¿En un equipo del recinto o en un servidor externo? Si es externo, ¿en qué país?
2. ¿Se graba o se guarda alguna imagen? ¿Ni siquiera temporalmente, para pruebas o para mejorar el sistema?
3. ¿Qué datos salen del recinto? ¿Solo cifras o también imágenes, recortes o identificadores?
4. ¿El sistema analiza rostros o genera algún tipo de plantilla biométrica?
5. ¿Quién puede ver las cámaras en directo y cómo se controla ese acceso?
6. ¿Firmáis un contrato de encargado del tratamiento?
7. ¿Qué documentación me dais para el registro de actividades, la información a las personas y, si hace falta, la evaluación de impacto?
8. ¿Cuánto tiempo se conservan las cifras y dónde?

Puedes leer los detalles en nuestra página de privacidad.

En resumen

Contar personas con cámaras es legal si se respeta el RGPD. Mientras la cámara capta imágenes hay tratamiento de datos personales, aunque no se grabe, así que informa con un cartel, documenta el tratamiento y firma el contrato con el proveedor. Lo que de verdad reduce el riesgo es el diseño: contar en el propio recinto, sin grabar ni analizar rostros, y quedarte solo con los números.