La Autoridad Catalana de Protección de Datos (APDCAT) ha aprobado la Circular 1/2026, que regula el tratamiento de datos personales mediante cámaras de videovigilancia y es de obligado cumplimiento en su ámbito de actuación. La norma afecta a administraciones, entidades públicas, universidades, colegios profesionales y entidades privadas cuando ejercen funciones públicas.
La nueva circular sustituye a la Instrucción 1/2009, de 10 de febrero de 2009, sobre el tratamiento de datos de carácter personal mediante cámaras con fines de videovigilancia. Aquella instrucción desarrollaba la aplicación de los principios y garantías previstos en la Ley Orgánica 15/1999, de 13 de diciembre de 1999, de protección de datos de carácter personal.
Adaptación normativa de la videovigilancia
La APDCAT enmarca la aprobación de la Circular 1/2026 en la necesidad de adaptar este ámbito a los cambios normativos y jurisprudenciales producidos desde 2009. Entre ellos figuran el Reglamento General de Protección de Datos (RGPD), aprobado mediante el Reglamento (UE) del Parlamento y del Consejo, de 27 de abril de 2016; la Ley Orgánica 3/2018, de protección de datos y garantía de los derechos digitales; y la Ley Orgánica 7/2021, de 26 de mayo de 2021, sobre datos personales tratados para la prevención, detección, investigación y enjuiciamiento de infracciones penales y la ejecución de sanciones penales.
El nuevo texto también tiene en cuenta la modificación de la Ley 5/2014, de 4 de abril de 2014, de seguridad privada, así como la aprobación del Reglamento de Inteligencia Artificial. La circular incorpora una exposición de motivos, 23 artículos distribuidos en seis capítulos, una disposición transitoria, una derogatoria, una final y un anexo sobre la información y el diseño de los carteles informativos que deben colocarse antes de captar imágenes y voces.
Los capítulos abordan las disposiciones generales, los principios aplicables al tratamiento de videovigilancia, las obligaciones del responsable, la transparencia, los derechos de acceso, rectificación, supresión, limitación del tratamiento y oposición, y la seguridad de los datos personales.
Nuevos dispositivos, transparencia e inteligencia artificial
Una de las principales novedades es la ampliación del ámbito de aplicación a dispositivos capaces de captar y transmitir imágenes y voces, como cámaras instaladas en drones, vehículos o elementos incorporados a la indumentaria de las personas. La circular también delimita los supuestos excluidos por inexistencia de tratamiento de datos personales o por aplicación de la excepción doméstica, y diferencia otros tratamientos sometidos a la normativa de protección de datos que quedan fuera de su ámbito material.
El texto actualiza el catálogo de definiciones para alinearlo con el RGPD y la Ley Orgánica 3/2018. Incorpora conceptos como dato personal, datos biométricos, anonimización, vía pública y espacio público; amplía las definiciones de tratamiento y persona identificable conforme a la normativa europea; y sustituye el concepto de disociación por el de anonimización.
La circular adapta los principios de la videovigilancia a la terminología y exigencias del RGPD, incluida la sustitución del principio de legitimidad del tratamiento por el de licitud. Además, identifica tratamientos que no se consideran legítimos, como los realizados en lugares donde las personas trabajadoras desarrollan actividades íntimas o de esparcimiento, y en habitaciones de residencias, hoteles y espacios similares, salvo que concurran intereses legítimos superiores.
También mantiene la obligación de elaborar una memoria previa antes de implantar un sistema de videovigilancia, aunque prevé que no sea exigible cuando el tratamiento deba someterse a una evaluación de impacto relativa a la protección de datos. Incorpora obligaciones vinculadas a la responsabilidad proactiva, como llevar un registro de actividades de tratamiento, efectuar evaluaciones de impacto cuando proceda y designar un delegado de protección de datos en los casos previstos por la normativa.
La norma concreta la relación entre el responsable y el encargado del tratamiento en videovigilancia, incluida la formalización del encargo y los supuestos en los que intervienen empresas de seguridad privada. Asimismo, amplía la información que debe facilitarse a las personas interesadas y adapta el modelo por capas: los carteles deberán incluir, como mínimo, la identidad del responsable, la existencia del tratamiento, la posibilidad de ejercer derechos y el acceso a información adicional, también mediante códigos QR u otros sistemas equivalentes.
La circular establece obligaciones específicas de información para el uso de cámaras móviles, drones, dispositivos instalados en vehículos o sistemas incorporados a la indumentaria. También prevé que las personas puedan dirigirse al delegado de protección de datos del responsable para ejercer derechos como el acceso o la supresión, e introduce una disposición específica para sistemas de videovigilancia que incorporen inteligencia artificial, con referencia expresa al Reglamento europeo de Inteligencia Artificial.