La Autoridad de Protección de Datos fija las nuevas reglas de la videovigilancia

La Autoridad Catalana de Protección de Datos sustituye su instrucción de 2009 con la Circular 1/2026, que fija las reglas del tratamiento de datos personales consistente en imágenes y, si procede, voces captadas por cámaras con fines de videovigilancia. La norma se publica en el Diario Oficial de la Generalitat de Catalunya (DOGC) núm. 9775, del 19 de octubre de 2026, con la referencia oficial CVE-DOGC-A-26287083-2026. Entra en vigor veinte días después de la publicación, es decir, a principios de noviembre.

La circular se dicta al amparo del artículo 57.2 de la Ley orgánica 3/2018, de protección de datos personales y garantía de los derechos digitales, del artículo 5.e de la Ley 32/2010 de la Autoridad y del artículo 15.1.e del Decreto 48/2003. La firma en Barcelona, el 14 de octubre de 2026, la directora Meritxell Borràs Solé. Se estructura en seis capítulos, una disposición adicional, una transitoria, una derogatoria, una final y un anexo que concreta el cartel informativo.

El texto sustituye la Instrucción 1/2009, vigente desde hace diecisiete años, y la adecua al Reglamento (UE) 2016/679 (RGPD), a la Ley orgánica 7/2021 y a la Ley 5/2014 de seguridad privada. Durante la tramitación se aprobó el Reglamento (UE) 2024/1689 de inteligencia artificial, que la circular incorpora. El proyecto pasó por consulta pública previa e información pública, con informes del Departamento de Interior y Seguridad Pública, el Instituto Catalán de las Mujeres, el Consejo Asesor de Protección de Datos de Cataluña y la Comisión Jurídica Asesora.

Ámbito: administraciones, entes locales y entidades vinculadas

La circular se aplica a los tratamientos de videovigilancia de las instituciones públicas de Cataluña, la Administración de la Generalitat, los entes locales, las entidades autónomas y consorcios, las universidades públicas y privadas del sistema universitario catalán y las corporaciones de derecho público que actúan exclusivamente en Cataluña. También obliga a las entidades de derecho privado cuando el capital, los ingresos o los órganos directivos dependen mayoritariamente de estos entes públicos, y a las que presten servicios públicos por cualquier forma de gestión.

Quedan fuera de su alcance la videovigilancia en el ámbito de la seguridad privada, las imágenes domésticas, las cámaras falsas, las captaciones con fines exclusivamente periodísticos y las cámaras de ayuda a la conducción que no registran. Para la Policía de la Generalitat - Mossos d’Esquadra y las policías locales, la circular se aplica con carácter supletorio respecto de su normativa específica.

Prohibiciones: vestuarios, comedores, aulas y reconocimiento facial

El texto declara ilegítimo captar imágenes o voces en diversos espacios:

• Baños y vestuarios, y lugares de descanso o esparcimiento de los trabajadores, como comedores y salas de ocio.
• Habitaciones de residencias, albergues, hoteles y similares.
• Habitaciones de centros asistenciales, a menos que sea necesario para proteger un interés vital.
• El interior de aulas, gimnasios o espacios de ocio del alumnado, salvo un interés superior que lo justifique.
• La vía pública, excepto para las fuerzas y cuerpos de seguridad, las empresas de seguridad privada, la captación incidental para vigilar un edificio o la protección de infraestructuras estratégicas.

También se considera inadecuado usar cámaras en el ámbito laboral con la finalidad exclusiva de controlar el rendimiento de manera continuada, y tratar de manera generalizada imágenes con técnicas de reconocimiento facial o análisis biométrico. La imagen no es dato biométrico por sí misma, pero sí cuando un tratamiento técnico específico permite la identificación unívoca. Grabar la voz solo se admite con carácter excepcional, cuando no se trate de conversaciones estrictamente privadas y la finalidad no se pueda alcanzar solo con la imagen.

Un mes de conservación y carteles amarillos obligatorios

Las grabaciones se deben suprimir en un plazo máximo de un mes desde la captación, a menos que sea necesario acreditar actos contra la integridad de personas, bienes o instalaciones, exigir responsabilidades o atender solicitudes de acceso o limitación. Si hay indicios de un hecho grave, las imágenes se deben poner a disposición de las autoridades competentes en un máximo de setenta y dos horas.

Los carteles informativos pasan a tener contenido y diseño reglados en el anexo:

• Fondo amarillo, forma rectangular y dimensiones estándar de aproximadamente 21 centímetros de base por 29,7 de altura.
• La indicación «ZONA VIDEOVIGILADA» y el texto «PROTECCIÓN DE DATOS».
• Un pictograma de cámara dentro de un rectángulo blanco, que debe reflejar la captación de voz cuando la haya.
• Identificación del responsable, referencia a los derechos de acceso, rectificación, limitación, supresión y oposición, y un código QR o dirección web para ampliar la información.

Los carteles se deben colocar antes de iniciar la captación y, en espacios abiertos, a menos de cincuenta metros del límite exterior del área vigilada. Los existentes que se ajusten a la Instrucción 1/2009 se pueden mantener hasta que sea necesario sustituirlos por el mantenimiento ordinario.

Memoria previa, evaluación de impacto y derechos

Antes de poner en marcha un sistema hay que elaborar una memoria con la justificación de la licitud, la finalidad, la ubicación y el campo de visión de las cámaras, las características técnicas y las medidas de seguridad. Cuando la videovigilancia implique observación sistemática a gran escala o alto riesgo, la evaluación de impacto sustituye a esta memoria y, si el riesgo persiste, hay que consultar previamente a la Autoridad.

Para ejercer los derechos, la persona debe indicar el lugar, la fecha y la hora aproximada en franjas no superiores a dos horas y aportar una imagen propia del periodo. Si la imagen no permite identificarla, tiene diez días hábiles para subsanarlo; el delegado de protección de datos debe responder en dos meses y, si no hay respuesta, se puede reclamar ante la Autoritat Catalana de Protecció de Dades.

La disposición adicional somete los sistemas con inteligencia artificial al Reglamento (UE) 2024/1689, especialmente a las prácticas prohibidas del artículo 5.1 y a las obligaciones sobre identificación remota en tiempo real y en diferido en espacios de acceso público.

La norma llega cuando la videovigilancia ya es masiva en calles, transportes y equipamientos, y lo hace con un criterio común para todos los entes sometidos a la Autoridad. Para la ciudadanía, el cambio más visible serán los carteles normalizados y la posibilidad de solicitar acceso a las imágenes con un procedimiento concreto; para las administraciones, la obligación de documentar cada sistema y de justificar por qué la cámara es imprescindible.

Fuente: Diari Oficial de la Generalitat de Catalunya, núm. 9775, 19 de octubre de 2026, Altres disposicions, pàg. 1-17 (referencia oficial: CVE-DOGC-A-26287083-2026).