La Autoridad Catalana de Protección de Datos (APDCAT) ha aprobado la Circular 1/2026 sobre el tratamiento de datos personales con cámaras de videovigilancia, una disposición de obligado cumplimiento en su ámbito de actuación. La norma afecta a administraciones, entidades públicas, universidades, colegios profesionales y entidades privadas cuando ejercen funciones públicas.
La nueva circular sustituye a la Instrucción 1/2009, de 10 de febrero, que regulaba el tratamiento de datos personales mediante cámaras de videovigilancia para concretar la aplicación de los principios y garantías previstos en la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal.
La actualización responde a los cambios normativos y jurisprudenciales producidos desde entonces. Entre ellos figuran el Reglamento General de Protección de Datos (RGPD), la Ley Orgánica 3/2018, de protección de datos personales y garantía de los derechos digitales, la Ley Orgánica 7/2021, de 26 de mayo, sobre protección de datos personales tratados con fines de prevención, detección, investigación y enjuiciamiento de infracciones penales y ejecución de sanciones penales, la modificación de la Ley 5/2014, de 4 de abril, de seguridad privada, y el Reglamento de Inteligencia Artificial.
Ámbito y estructura de la Circular 1/2026
La Circular 1/2026 incluye una exposición de motivos y 23 artículos distribuidos en seis capítulos. Estos apartados regulan las disposiciones generales, los principios aplicables al tratamiento de videovigilancia, las obligaciones del responsable, la transparencia, los derechos de acceso, rectificación, supresión, limitación del tratamiento y oposición, y la seguridad de los datos personales.
El texto incorpora también una disposición transitoria, una disposición derogatoria, una disposición final y un anexo con la información y el diseño de los carteles informativos que deben colocarse antes de captar imágenes y voces.
Uno de los cambios principales es la ampliación del ámbito de aplicación a nuevos dispositivos capaces de captar y transmitir imágenes y voces. La circular incluye cámaras instaladas en drones, vehículos o dispositivos incorporados a la indumentaria de las personas.
La norma delimita además los supuestos excluidos, tanto por inexistencia de tratamiento de datos personales como por aplicación de la excepción doméstica. También diferencia otros tratamientos que, aunque están sujetos a la normativa de protección de datos, quedan fuera del ámbito material de la circular.
Principios, obligaciones e inteligencia artificial
La texto actualiza el catálogo de definiciones para adaptarlo a la terminología del RGPD y de la Ley Orgánica 3/2018. La circular incorpora conceptos como dato personal, datos biométricos, anonimización, vía pública y espacio público, amplía las definiciones de tratamiento y persona identificable conforme a la normativa europea, y sustituye el concepto de disociación por el de anonimización.
Los principios aplicables al tratamiento de videovigilancia se adaptan también a las exigencias del RGPD. En particular, la circular sustituye el principio de legitimidad del tratamiento por el de licitud e identifica tratamientos de videovigilancia que no se consideran legítimos en ningún caso. Entre ellos incluye los lugares donde los trabajadores realizan actividades más íntimas o de ocio, así como habitaciones de residencias, hoteles y espacios similares, salvo que existan intereses legítimos superiores.
La disposición mantiene la obligación de elaborar una memoria previa antes de implantar un sistema de videovigilancia, aunque prevé que no sea exigible cuando el tratamiento deba someterse a una evaluación de impacto relativa a la protección de datos. Asimismo, incorpora obligaciones vinculadas al principio de responsabilidad proactiva, como llevar un registro de actividades de tratamiento, realizar evaluaciones de impacto cuando proceda y designar un delegado de protección de datos en los supuestos previstos por la normativa.
La circular concreta la relación entre el responsable y el encargado del tratamiento en el ámbito de la videovigilancia, así como la formalización del encargo, incluidos los casos en que intervienen empresas de seguridad privada. También amplía la información que debe facilitarse a las personas interesadas y adapta el modelo de información por capas, de modo que los carteles incluyan, como mínimo, la identidad del responsable, la existencia del tratamiento, la posibilidad de ejercer derechos y el acceso a información adicional mediante códigos QR u otros sistemas equivalentes.
La norma fija obligaciones específicas de información cuando se utilicen cámaras móviles, drones, dispositivos instalados en vehículos o sistemas integrados en la indumentaria. Además, permite que las personas se dirijan al delegado de protección de datos del responsable para ejercer sus derechos, como el acceso o la supresión, e introduce una disposición específica sobre sistemas de videovigilancia que incorporen inteligencia artificial, con referencia expresa al Reglamento europeo de Inteligencia Artificial.