Peticiones de imágenes de videovigilancia bajo el RGPD: policía, aseguradoras y acceso del interesado

Tarde o temprano, alguien te pedirá tus imágenes de videovigilancia. Puede ser un agente de policía investigando un robo, una aseguradora tramitando un siniestro, un abogado preparando un caso o simplemente un cliente que quiere verse a sí mismo caminando por tu tienda. Cada una de estas solicitudes se rige por una parte distinta del RGPD, y el error más común, con diferencia, es tratarlas todas igual: entregar el archivo en bruto y exponer a cada transeúnte que estuviera casualmente en el encuadre.

Aviso legal: Este contenido tiene fines meramente informativos y no constituye asesoramiento jurídico. La normativa y las orientaciones de las autoridades de control varían según la jurisdicción y cambian con el tiempo. Consulta siempre a un profesional cualificado en protección de datos o derecho para tu caso concreto.

TL;DR

• Solicitudes policiales: por lo general puedes divulgar sin consentimiento con una base jurídica (obligación legal o interés legítimo en la prevención del delito). Consigue la solicitud por escrito, comparte solo la franja relevante, regístrala. La divulgación del clip completo a la policía suele ser correcta: lo que importa es la verificación, no la redacción.
• Solicitudes de acceso del interesado (art. 15): quien fue grabado tiene derecho a una copia de las imágenes en las que aparece él mismo. Tienes un mes para responder. El art. 15.4 exige redactar a cualquier otra persona identificable antes de la divulgación: esta es la parte que las organizaciones suelen hacer mal.
• Aseguradoras, abogados y otras partes privadas: no tienen derecho automático a las imágenes. Necesitas consentimiento, una base de reclamación legítima o una orden judicial, y aun así deberías minimizar y redactar a los terceros.
• Exportar y redactar a mano es donde la mayoría de organizaciones pequeñas se atascan. Anonimiza imágenes de videovigilancia automáticamente: detecta caras y matrículas, mantén visible a la persona adecuada, pixela a todos los demás.

No todas las solicitudes son la misma solicitud

Si operas cualquier cámara que capte a personas identificables (la entrada de una tienda, el vestíbulo de una oficina, el muelle de carga de un almacén, un complejo residencial), eres, según el RGPD, responsable del tratamiento de esas imágenes. Ese estatus no solo crea obligaciones sobre cómo grabas y conservas el vídeo; crea obligaciones cada vez que alguien te pide que lo entregues.

Los tres tipos de solicitud con los que realmente te encontrarás son:

1. Las fuerzas del orden, investigando un delito o un incidente.
2. La persona que aparece en las imágenes, ejerciendo su derecho de acceso.
3. Un tercero privado (una aseguradora, un abogado, un empleador, un vecino) que quiere imágenes para una reclamación, una disputa o una investigación.

La base jurídica, el plazo y tu obligación de redacción son distintos en cada caso. Si te equivocas en la categorización, o divulgas de más (exponiendo ilícitamente datos de transeúntes) o divulgas de menos (incumpliendo una obligación legal). Para el marco de referencia subyacente (base jurídica, retención, señalización y evaluaciones de impacto), consulta nuestra guía de requisitos RGPD para videovigilancia.

Solicitudes de la policía y las fuerzas del orden

Este es el caso que más preocupa a la mayoría de operadores de videovigilancia y el que peor entienden. En la práctica, suele ser el más simple.

Por lo general puedes divulgar imágenes a la policía sin el consentimiento de las personas que aparecen en ellas, apoyándote en una de dos bases lícitas del art. 6 del RGPD:

• Obligación legal (art. 6.1.c): si una orden de exhibición formal, una orden judicial o un deber legal específico obliga a la divulgación, debes cumplirlo.
• Interés legítimo (art. 6.1.f): para una solicitud investigativa informal pero genuina, tanto tu interés como el de la policía en prevenir o investigar un delito suelen justificar compartir las imágenes relevantes, siempre que sea proporcionado.

Buenas prácticas, más allá del mínimo legal:

• Consigue la solicitud por escrito, identificando al agente solicitante, el número de caso o referencia y el motivo por el que se necesitan las imágenes.
• Comparte solo la franja horaria y las cámaras que realmente son relevantes: no la grabación de un día completo porque sea más fácil de exportar.
• Registra la divulgación: fecha, agente, descripción de las imágenes, base jurídica invocada.

No estás generalmente obligado a redactar a los transeúntes antes de entregar imágenes a la policía para un propósito investigativo lícito y documentado: un clip completo y sin editar es a menudo lo que lo hace útil como prueba. La obligación que suele confundir a la gente aquí no es la redacción, es la verificación: confirma que la solicitud es genuina (una llamada de alguien que dice ser agente, sin seguimiento por escrito, no es suficiente) antes de divulgar nada. Si operas en el Reino Unido, la misma lógica se aplica casi exactamente bajo la UK GDPR y las orientaciones de la ICO.

Solicitudes de acceso del interesado: cuando pregunta la persona de las imágenes

Este es el tipo de solicitud que realmente causa quebraderos de cabeza operativos, y merece la pena detenerse en él.

El art. 15 del RGPD otorga a cualquier persona cuyos datos personales trates (incluido cualquiera cuya cara aparezca en tu videovigilancia) el derecho a obtener una copia de ellos. Si un cliente, un empleado o un transeúnte pregunta "¿puedo tener las imágenes de mí del martes por la tarde?", eso es una solicitud de acceso del interesado formal, use o no esa expresión exacta.

De ahí se derivan dos cosas:

El plazo de un mes empieza de inmediato. El art. 12.3 te da un mes natural para responder desde el día en que llega la solicitud, ampliable hasta dos meses más solo para solicitudes complejas o de alto volumen, y debes notificar la ampliación al solicitante dentro del primer mes, con un motivo. "Ya lo atenderemos en algún momento" no cumple.

El art. 15.4 es la obligación que más importa. El derecho de acceso no debe "afectar negativamente a los derechos y libertades de terceros". Un único clip de veinte minutos de una cámara de tienda puede contener fácilmente a decenas de otros clientes, además del personal en su jornada, ninguno de los cuales consintió ser divulgado a un tercero. No puedes entregar lícitamente un clip en bruto que los identifique solo porque una persona en él tenga derecho a sus propios datos.

En la práctica, esto significa: antes de entregar las imágenes, debes localizar y redactar a cualquier otra persona identificable en el encuadre (caras y cualquier otra cosa que las identifique), manteniendo intacta la imagen del propio solicitante. Este es precisamente el punto donde la redacción manual se convierte en un cuello de botella real. Una exportación multi-cámara de veinte minutos puede contener a cientos de transeúntes a lo largo de una tarde concurrida; difuminarlos uno a uno, fotograma a fotograma, en un editor de vídeo genérico es un día de trabajo para una solicitud que estás legalmente obligado a responder en un mes.

Aseguradoras, abogados y otras partes privadas

A diferencia de la policía, una aseguradora, la parte contraria o un investigador privado no tiene derecho automático a tus imágenes de videovigilancia. Necesitas una de estas:

• Consentimiento explícito de las personas cuyos datos se divulgarían (raramente práctico para transeúntes).
• Una reclamación legal legítima, donde compartir las imágenes sea necesario para establecer, ejercer o defender esa reclamación.
• Una orden judicial o proceso legal formal que obligue a la divulgación.

Incluso cuando aplica uno de estos supuestos, el mismo principio de minimización de datos del art. 15.4 es también buena práctica aquí: comparte solo la franja horaria relevante y redacta a todo el que no sea parte de la reclamación salvo que haya una razón concreta para que permanezca visible (por ejemplo, es un testigo relevante para la disputa). Trata estas solicitudes con más escrutinio que una investigación policial, no con menos: un tercero privado que pide imágenes de videovigilancia es un vector habitual de gente buscando información a la que no tiene derecho.

Cómo responder a una solicitud de imágenes de videovigilancia

El flujo de trabajo tiene la misma forma sea quien sea que pregunta; solo cambia la decisión de redacción.

1. Verifica la identidad y la base jurídica del solicitante. Confirma quién pregunta y por qué antes de tocar el grabador. Las solicitudes policiales deben venir con un número de caso; las solicitudes de acceso del interesado necesitan verificación de identidad contra las imágenes; aseguradoras y abogados necesitan demostrar consentimiento, base de reclamación u orden.
2. Localiza las imágenes y exporta solo la franja relevante. Extrae el canal de cámara específico y el intervalo de tiempo. Una exportación más estrecha significa menos personas que redactar y menos exposición si algo falla más adelante.
3. Identifica a cada tercero y cada detalle identificativo en el encuadre. Caras, matrículas, acreditaciones, pantallas, cualquier cosa que identifique a alguien que no sea el solicitante.
4. Redacta a todo el que no tenga derecho a aparecer. Pixela a los transeúntes para una solicitud de acceso manteniendo visible al solicitante; redacta a todos los terceros por defecto para aseguradoras, abogados y otras solicitudes privadas.
5. Entrega el archivo de forma segura y registra la divulgación. Nada de enlaces abiertos ni correo sin cifrar para nada que contenga datos personales. Registra qué compartiste, con quién, con qué base y cuándo.
6. Aplica tu política de retención a las copias de trabajo. Una vez completada la divulgación, elimina los archivos exportados y redactados según tu plazo de retención documentado: no dejes que las exportaciones puntuales se acumulen fuera de tus reglas normales de almacenamiento de videovigilancia.

Dónde encaja Medianonymizer

El paso 4 es el que atasca a la mayoría de organizaciones pequeñas, porque "difumina a cada transeúnte salvo una persona, fotograma a fotograma, a lo largo de un clip multi-cámara en movimiento" es exactamente el tipo de tarea que se rompe en un editor de vídeo genérico.

El anonimizador de videovigilancia de Medianonymizer está construido para ese trabajo específico. Sube tu clip exportado en un formato de vídeo habitual, y la IA detecta caras, matrículas y texto en pantalla en cada fotograma automáticamente. Revisas las detecciones en una previsualización y eliges una redacción selectiva: mantén intactos los movimientos del propio solicitante y pixela a todos los demás, o difumina a toda persona identificable si la divulgación lo requiere. El resultado es determinista: los píxeles marcados se recodifican y se destruyen, no quedan cubiertos por una superposición que se pudiera retirar más tarde, algo que importa si un regulador pregunta alguna vez cómo se hizo la redacción. No hace falta cuenta, pagas por archivo (vídeo desde 4,99 EUR), y gestiona exportaciones largas (grabaciones de hasta aproximadamente dos horas) sin que toques una línea de tiempo ni un fotograma clave.

Esto no sustituye el criterio sobre quién tiene derecho a qué. Sustituye el enmascarado manual fotograma a fotograma que hace que la obligación de redacción parezca imposible de cumplir dentro de un plazo de un mes. Para el mismo razonamiento aplicado a compartir imágenes de forma más amplia (con la prensa, en divulgaciones tipo transparencia o para formación), consulta cómo anonimizar imágenes de videovigilancia.

Integra el procedimiento de solicitud en tu política de videovigilancia

Un procedimiento de solicitud de imágenes no debería improvisarse la primera vez que alguien pregunta. Pertenece a la misma política de videovigilancia que cubre tu señalización, tu base jurídica y tu plazo de retención: quién recibe las solicitudes, cómo se verifica la identidad y la base jurídica, la redacción por defecto para cada tipo de solicitud y dónde vive el registro de divulgaciones. Si aún no lo has documentado, nuestra guía de requisitos RGPD para videovigilancia cubre el marco completo, y nuestra comparativa entre anonimización y seudonimización explica por qué la redacción irreversible (no una máscara reversible) es lo que realmente saca una divulgación del ámbito de aplicación del RGPD para quien la recibe.

Responde a tu próxima solicitud de videovigilancia sin el trabajo de redacción manual

Ya sea una investigación policial, una solicitud de acceso del interesado o la reclamación de una aseguradora, la forma del problema es la misma: exporta la franja correcta, determina quién tiene derecho a qué y redacta a todos los demás antes de que salga de tu control.

Anonimiza una exportación de videovigilancia ahora →