La Autoridad Catalana de Protección de Datos ha aprobado la Circular 1/2026, que fija cómo deben tratarse los datos personales captados con cámaras de videovigilancia. La norma es de obligado cumplimiento para las administraciones y entidades incluidas en su ámbito de actuación, y sustituye a la Instrucción 1/2009, vigente desde hace más de quince años.
Por qué se sustituye la instrucción de 2009
La instrucción de 2009 desarrollaba los principios de la Ley Orgánica 15/1999, de protección de datos de carácter personal, que quedó superada por el marco posterior. La APDCAT justifica el cambio en la necesidad de adaptar la materia a las modificaciones normativas y jurisprudenciales producidas desde entonces.
Entre esas referencias figuran el Reglamento General de Protección de Datos (Reglamento (UE) 2016/679), la Ley Orgánica 3/2018, de protección de datos y garantía de los derechos digitales, y la Ley Orgánica 7/2021, sobre el tratamiento de datos para la prevención, investigación y enjuiciamiento de infracciones penales. El texto también tiene en cuenta la modificación de la Ley 5/2014, de seguridad privada, y la aprobación del Reglamento de Inteligencia Artificial.
Qué cambia en la práctica
La circular amplía su ámbito a dispositivos capaces de captar y transmitir imágenes y voces, como cámaras instaladas en drones, vehículos o incorporadas a la indumentaria de las personas. También delimita los supuestos excluidos, bien porque no hay tratamiento de datos personales, bien porque se aplica la excepción doméstica.
En el terreno conceptual, el texto incorpora definiciones alineadas con el RGPD y la Ley Orgánica 3/2018, entre ellas las de dato biométrico, anonimización, vía pública y espacio público. Sustituye el concepto de disociación por el de anonimización y adapta el principio de legitimidad al de licitud, la terminología que emplea la normativa europea.
La norma también identifica tratamientos que no considera legítimos, como los realizados en lugares donde las personas trabajadoras desarrollan actividades íntimas o de esparcimiento, o en habitaciones de residencias y hoteles, salvo que concurran intereses legítimos superiores.
Obligaciones para responsables y encargados
- Elaborar una memoria previa antes de implantar un sistema de videovigilancia, salvo que el tratamiento deba someterse a una evaluación de impacto en protección de datos.
- Llevar un registro de actividades de tratamiento y efectuar evaluaciones de impacto cuando proceda.
- Designar un delegado de protección de datos en los casos previstos por la normativa.
- Formalizar la relación entre responsable y encargado, incluidos los supuestos en que intervienen empresas de seguridad privada.
En cuanto a la información a las personas, el modelo por capas exige que los carteles informativos incluyan, como mínimo, la identidad del responsable, la existencia del tratamiento, la posibilidad de ejercer derechos y el acceso a información adicional, que puede darse mediante un código QR u otro sistema equivalente. El anexo de la circular detalla el diseño de estos carteles. La norma prevé además obligaciones específicas para cámaras móviles, drones y dispositivos instalados en vehículos o en la indumentaria, y permite dirigirse al delegado de protección de datos para ejercer derechos como el acceso o la supresión.
Límites y puntos pendientes
La circular incluye una disposición específica para los sistemas de videovigilancia que incorporen inteligencia artificial, con referencia expresa al Reglamento europeo de Inteligencia Artificial. Sin embargo, el alcance concreto de esa disposición dependerá de cómo se apliquen las obligaciones europeas, un terreno todavía en desarrollo.
Conviene recordar que la norma rige en el ámbito de actuación de la APDCAT, es decir, en Cataluña. Otras autoridades de protección de datos en España y en otros países hispanohablantes tienen sus propias normas y criterios, por lo que el contenido de la circular no se puede extrapolar automáticamente a otros territorios.