APDCAT: Publicación circular sobre videovigilancia

Circular 1/2026 de la Autoridad Catalana de Protección de Datos, sobre el tratamiento de datos personales mediante cámaras con fines de videovigilancia

El DOGC núm. 9775, de 19 de octubre de 2026, publica la Circular 1/2026 de la Autoridad Catalana de Protección de Datos (APDCAT), sobre videovigilancia, que culmina el proceso iniciado en marzo de 2025 con la información pública del proyecto, del que dimos cuenta en nuestra publicación «APDCAT: Circular sobre videovigilancia», disponible en SOPORTE / NORMATIVA / AUTORIDAD DE CONTROL.

La Circular deroga la Instrucción 1/2009 y entra en vigor a los veinte días de su publicación (el 8 de noviembre de 2026), y no al día siguiente como preveía el proyecto. Es de obligado cumplimiento para las administraciones e instituciones públicas de Cataluña y sus entidades dependientes, universidades, corporaciones de derecho público y entidades privadas que prestan servicios públicos o ejercen funciones públicas, también cuando el tratamiento lo realiza un encargado. Aun así, sus criterios son una referencia útil para cualquier responsable que utilice videovigilancia.

Consta de 23 artículos en 6 capítulos, una disposición adicional, una transitoria, una derogatoria, una final y un anexo con el modelo de cartel. Destacamos las siguientes novedades:

• Capítulo 1. Disposiciones generales:
  • Incluye las cámaras instaladas en drones, vehículos o indumentaria, y excluye expresamente las cámaras falsas.
  • Precisa que tratar imágenes no implica sistemáticamente tratar categorías especiales: solo hay datos biométricos cuando se usan medios técnicos específicos para identificar o autenticar.
  • No se aplica a la videovigilancia en el ámbito de la seguridad privada, salvo cuando estas empresas actúan por cuenta de las entidades sujetas.
• Capítulo 2. Principios aplicables:
  • No es legítima la captación de imágenes en habitaciones de centros asistenciales, salvo para proteger un interés vital, además de los supuestos ya previstos (domicilios ajenos, vía pública con excepciones, baños, vestuarios, zonas de descanso de trabajadores y habitaciones de hoteles o residencias).
  • Exige una ponderación previa documentada de la proporcionalidad y advierte que pueden no superarla el control continuado del rendimiento laboral, las cámaras en aulas, las cámaras turísticas o meteorológicas que identifiquen a personas y el uso generalizado del reconocimiento facial. La grabación de voz solo se admite de forma excepcional.
  • Conservación máxima de un mes, con entrega a las autoridades en 72 horas cuando se acrediten hechos ilícitos. No se aplica la obligación de bloqueo del art. 32 LOPDGDD.
• Capítulo 3. Obligaciones del responsable:
  • Mantiene la memoria previa, con un contenido mínimo detallado (incluida la existencia, en un radio de 50 metros, de centros sanitarios, religiosos, educativos o sedes de partidos), salvo que sea exigible una EIPD, que la sustituye.
  • Incorpora el RAT (aunque no se graben las imágenes), el DPD en caso de observación sistemática a gran escala y la consideración de la empresa de seguridad privada como encargada del tratamiento.
• Capítulo 4. Transparencia:
  • Los carteles deben colocarse antes de iniciar la captación, incluso en pruebas, en cada acceso al área (y en espacios abiertos, a menos de 50 metros), y ajustarse al modelo del anexo: fondo amarillo, formato A4, pictograma que indique si se graba la voz, identidad del responsable, derechos y web o código QR.
  • Incluye reglas específicas para el control laboral, las cámaras de tráfico y las cámaras móviles.

• Capítulo 5. Derechos:
  • Confirma los dos supuestos de rectificación del proyecto, frente al criterio de la AEPD que la considera de contenido imposible: imágenes o voces alteradas tras su captación y datación incorrecta.
  • Regula la anonimización de terceros en el acceso, la solicitud por franjas de dos horas, la subsanación en diez días hábiles y la posibilidad de dirigirse al DPD, que debe responder en dos meses.
• Capítulo 6. Seguridad:
  • Remite al Esquema Nacional de Seguridad para las entidades del art. 77 LOPDGDD y enumera medidas concretas: registro de accesos, cifrado, sistema de datación y borrado seguro.
• Disposición adicional. Inteligencia artificial:
  • Los sistemas con IA quedan sometidos también al RIA, con especial atención a las prácticas prohibidas del art. 5.1.e) a h), a la identificación biométrica remota en tiempo real (art. 5.3 a 5) y en diferido (art. 26.10).
• Disposición transitoria:
  • El nuevo cartel solo es exigible a los tratamientos iniciados tras la entrada en vigor. Los carteles conformes con la Instrucción 1/2009 pueden mantenerse hasta su sustitución por mantenimiento ordinario.
• Recomendaciones prácticas:
  • Revisar la ponderación de proporcionalidad y completar la memoria o, en su caso, la EIPD, así como el RAT.
  • Verificar los plazos de conservación y suprimir las grabaciones mantenidas más allá de un mes sin justificación.
  • Revisar los contratos con las empresas de seguridad y los proveedores, el procedimiento de atención de derechos y, si el sistema usa IA, su encaje en el RIA.

Acceso a la noticia en la página web de la APDCAT:

https://www.apdcat.cat/es/actualitat/noticies/2026/CircularVideovigilancia

Acceso al texto de la Circular 1/2026 en el DOGC:

https://dogc.gencat.cat/ca/document-del-dogc/?documentId=1057099

Acceso a nuestra publicación anterior sobre el proyecto de Circular (marzo 2025):

https://privacydriver.com/es/apdcat-circular-sobre-viodevigilancia-c656