Videovigilancia en residencias de mayores: Protección de datos en residencias, centros de día y servicios de teleasistencia
La videovigilancia puede contribuir a la seguridad de personas mayores, profesionales e instalaciones. Pero, cuando las cámaras se integran en residencias, centros de día, viviendas tuteladas o servicios de monitorización remota, la decisión no puede limitarse a instalar dispositivos y colocar un cartel informativo.
La imagen de una persona es un dato personal. Y en entornos asistenciales, la captación de imágenes puede desarrollarse junto a información especialmente sensible sobre salud, dependencia, rutinas, movilidad o situaciones de vulnerabilidad. Por eso, estos sistemas exigen una revisión jurídica y organizativa previa que permita acreditar que la medida es necesaria, proporcionada y correctamente implantada.
La seguridad no elimina las obligaciones de protección de datos cuando hablamos de videovigilancia en residencias de mayores
La Ley Orgánica 3/2018 permite el tratamiento de imágenes mediante sistemas de cámaras o videocámaras cuando su finalidad sea preservar la seguridad de las personas, los bienes y las instalaciones. Sin embargo, esa habilitación no convierte cualquier sistema de grabación o monitorización en válido por defecto.
El RGPD exige que todo tratamiento sea lícito, leal y transparente; que tenga una finalidad determinada, explícita y legítima; que trate solo los datos adecuados, pertinentes y limitados a lo necesario; que establezca un plazo de conservación limitado; y que garantice la seguridad e integridad de la información. Además, el responsable debe poder demostrar que cumple estas obligaciones.
En una residencia o centro de día, esto obliga a responder antes de instalar cámaras a preguntas muy concretas: qué riesgo se pretende prevenir, qué espacios deben cubrirse, quién podrá acceder a las imágenes, durante cuánto tiempo se conservarán, si habrá visualización en remoto y qué medidas impedirán accesos no autorizados.
No se trata solo de cumplir una formalidad. Se trata de diseñar un sistema de videovigilancia en residencias de mayores que responda a una necesidad real sin convertir el cuidado cotidiano de personas mayores en una supervisión excesiva o indiscriminada.
Videovigilancia en residencias de mayores: qué permite la normativa
El artículo 22 de la LOPDGDD contempla expresamente el uso de cámaras para preservar la seguridad de personas, bienes e instalaciones. También establece límites relevantes para cualquier entidad que gestione un sistema de videovigilancia en residencias de mayores.
- Las imágenes de la vía pública solo pueden captarse cuando resulte imprescindible para la finalidad de seguridad.
- Las grabaciones deben suprimirse, con carácter general, en el plazo máximo de un mes desde su captación.
- La conservación puede extenderse cuando las imágenes deban servir para acreditar hechos que afecten a la integridad de personas, bienes o instalaciones.
- Cuando exista una grabación de ese tipo, deberá ponerse a disposición de la autoridad competente en un plazo máximo de setenta y dos horas desde que se tenga conocimiento de su existencia.
- La entidad debe informar de la existencia del tratamiento, de la identidad del responsable y de la posibilidad de ejercer los derechos de protección de datos.
Por tanto, la señalización visible sigue siendo necesaria, pero no agota el deber de información. El responsable debe tener disponible la información adicional exigida por el RGPD, con datos sobre la finalidad, la base jurídica, la conservación, los destinatarios, el ejercicio de derechos y, cuando proceda, la información de contacto del delegado de protección de datos.
En el ámbito asistencial, la auditoría debe revisar también si la colocación de cada cámara es coherente con el objetivo de seguridad definido. No es lo mismo una cámara situada en un acceso, un pasillo o una zona común que una solución de monitorización remota vinculada al cuidado individualizado de una persona residente.
La especial sensibilidad de los entornos de atención a mayores
El RGPD considera que determinados tratamientos pueden generar un riesgo elevado para los derechos y libertades de las personas. Entre los factores relevantes se encuentran el tratamiento de datos de personas vulnerables, el tratamiento a gran escala de categorías especiales de datos, la observación sistemática de zonas de acceso público y el uso de nuevas tecnologías.
Las personas mayores no constituyen por sí mismas una categoría jurídica homogénea, pero en una residencia, centro de día o servicio de teleasistencia pueden concurrir circunstancias que incrementen el riesgo: deterioro cognitivo, dependencia, movilidad reducida, situaciones de salud, necesidad de apoyos o imposibilidad práctica de controlar el uso posterior de sus imágenes.
Además, las imágenes pueden revelar información sobre el estado de salud o sobre la situación personal de una persona cuando se relacionan con tratamientos, cuidados, rutinas asistenciales, desplazamientos o episodios concretos. El RGPD establece una protección reforzada para los datos relativos a la salud y exige identificar una base jurídica válida y, cuando corresponda, una de las excepciones previstas para el tratamiento de categorías especiales de datos.
Por eso, una solución de cámaras no debe analizarse de forma aislada. Debe revisarse dentro del conjunto de tratamientos de la entidad: historia asistencial, información de familiares, comunicaciones con profesionales, dispositivos de teleasistencia, plataformas de acceso remoto, proveedores tecnológicos y protocolos internos de actuación.
Consentimiento familiar: una cuestión que debe revisarse caso por caso
En este ámbito es frecuente que la organización se plantee solicitar una autorización a familiares para instalar o utilizar sistemas de cámaras o monitorización. Sin embargo, el consentimiento no puede tratarse como una solución automática ni como un documento estándar que resuelva cualquier tratamiento.
El RGPD exige que el consentimiento sea una manifestación libre, específica, informada e inequívoca del interesado. Cuando se pretenda utilizarlo para varias finalidades, debe quedar claro y diferenciado para cada una de ellas. Además, el consentimiento no puede utilizarse para imponer tratamientos que no sean necesarios para la relación o el servicio correspondiente.
En la práctica, una auditoría legal debe analizar quién es el interesado, cuál es la base jurídica adecuada para cada tratamiento, qué información debe facilitarse a la persona usuaria y qué intervención puede corresponder a familiares, representantes o personas de apoyo según las circunstancias concretas.
También debe evitarse que el consentimiento se convierta en un instrumento genérico para justificar fines distintos: seguridad de instalaciones, asistencia individualizada, seguimiento remoto, atención de incidencias, comunicación con familiares o uso de proveedores tecnológicos. Cada finalidad debe estar claramente delimitada y documentada.
Monitorización remota: no es solo una cámara conectada
La monitorización remota introduce riesgos adicionales porque puede implicar acceso a imágenes desde dispositivos externos, intervención de proveedores tecnológicos, almacenamiento en la nube, perfiles de acceso diferenciados, transmisión de datos y conservación de registros de actividad.
El principio de protección de datos desde el diseño y por defecto obliga a integrar las garantías desde la fase de elección de la tecnología. Esto implica valorar, entre otras cuestiones, si el sistema permite limitar los accesos, configurar permisos por rol, registrar quién consulta las imágenes, reducir el campo de visión, evitar grabaciones innecesarias, establecer plazos de borrado y aplicar medidas de seguridad proporcionadas al riesgo.
La entidad responsable también debe revisar la relación con la empresa que suministra, mantiene o aloja la solución tecnológica. Cuando un tercero trata datos por cuenta de la residencia, del centro de día o de la empresa de teleasistencia, debe existir un marco contractual y organizativo que determine las instrucciones, la finalidad, la duración, las medidas de seguridad y el destino de los datos al finalizar el servicio.
La monitorización remota debe permitir acreditar que la tecnología está al servicio del cuidado y la seguridad, y no al revés. Cuanto mayor sea la capacidad de observación, acceso o conservación, mayor será la necesidad de justificar la necesidad y proporcionalidad del sistema.
¿Cuándo puede ser necesaria una evaluación de impacto?
El artículo 35 del RGPD exige realizar una evaluación de impacto relativa a la protección de datos antes del tratamiento cuando sea probable que, por su naturaleza, alcance, contexto o fines, genere un alto riesgo para los derechos y libertades de las personas.
El propio Reglamento menciona, entre otros supuestos, la observación sistemática a gran escala de una zona de acceso público y el tratamiento a gran escala de categorías especiales de datos. La LOPDGDD también destaca como situaciones de mayor riesgo el tratamiento de datos de grupos de afectados en situación de especial vulnerabilidad, así como los tratamientos masivos que impliquen a un gran número de personas o una gran cantidad de datos.
Una evaluación de impacto no es un formulario genérico. Debe describir las operaciones de tratamiento, valorar su necesidad y proporcionalidad, identificar riesgos y documentar las medidas previstas para afrontarlos. Si existe delegado de protección de datos, el RGPD dispone que debe recabarse su asesoramiento al realizarla.
En el sector de los cuidados, esta evaluación puede ser especialmente relevante cuando se combinan cámaras, accesos remotos, tratamientos de salud, cobertura amplia de instalaciones, grabación continuada o integración con herramientas de teleasistencia.
Auditoría legal de videovigilancia en residencias de mayores y centros de día
Una auditoría no debe limitarse a comprobar si hay carteles en la entrada. Debe revisar el ciclo completo del tratamiento y dejar constancia de las decisiones adoptadas.
1. Finalidad y necesidad de las cámaras
Se analiza qué riesgo concreto se pretende prevenir, qué alternativas menos intrusivas existen y qué espacios requieren realmente vigilancia. La finalidad de seguridad debe ser clara, documentada y coherente con la ubicación de cada dispositivo.
2. Mapa de cámaras y zonas afectadas
Se revisa la cobertura, el ángulo, el alcance, la captación incidental de terceros, el posible acceso a zonas externas y la relación entre la imagen recogida y la finalidad declarada.
3. Información a residentes, familias, trabajadores y visitantes
La auditoría comprueba la señalización, la información adicional y los canales para ejercer derechos. También revisa que la información sea accesible y comprensible para los distintos colectivos afectados.
4. Conservación, acceso y extracción de imágenes
Se establecen plazos de supresión, permisos de acceso, criterios para extraer grabaciones, protocolos de custodia y medidas para impedir consultas indebidas o usos ajenos a la finalidad de seguridad.
5. Proveedores y monitorización remota
Se analiza la posición de las empresas tecnológicas, de mantenimiento, seguridad, almacenamiento o teleasistencia, así como los contratos de encargo de tratamiento y las garantías aplicables al acceso remoto.
6. Registro de actividades y responsabilidad proactiva
La videovigilancia en residencias de mayores debe integrarse en el registro de actividades de tratamiento y en las políticas internas de privacidad. La organización debe poder explicar qué hace, por qué lo hace, qué medidas adopta y cómo acredita su cumplimiento.
El papel del delegado de protección de datos
El RGPD obliga a designar delegado de protección de datos, entre otros casos, cuando las actividades principales consistan en una observación habitual y sistemática de interesados a gran escala o en el tratamiento a gran escala de categorías especiales de datos. La LOPDGDD añade determinados supuestos específicos, entre ellos los centros sanitarios legalmente obligados al mantenimiento de historias clínicas.
La obligación concreta debe analizarse según la actividad real de cada entidad, el volumen de datos, el tipo de servicios prestados y la estructura del tratamiento. Incluso cuando no exista una obligación expresa de designación, contar con asesoramiento especializado resulta especialmente útil cuando se combinan asistencia, monitorización, salud, seguridad y proveedores tecnológicos.
Un DPO externo puede ayudar a revisar los tratamientos, participar en la evaluación de impacto cuando proceda, actualizar el registro de actividades de tratamiento y establecer protocolos aplicables a incidencias, derechos de los interesados y gestión de proveedores.
Una oportunidad de mejora, no solo una obligación
Residencias, centros de día y empresas de teleasistencia gestionan información especialmente delicada porque su actividad se relaciona directamente con el bienestar, la seguridad y la autonomía de las personas. Un sistema de cámaras mal definido puede generar riesgos; uno correctamente diseñado puede contribuir a la seguridad con garantías.
La clave está en no tratar la videovigilancia en residencias de mayores como una cuestión meramente técnica. Antes de instalar, ampliar o conectar un sistema de cámaras conviene revisar la finalidad, la proporcionalidad, la información, la conservación, la seguridad, los accesos remotos y la intervención de terceros.
En ARL Abogados realizamos auditorías legales de videovigilancia en residencias de mayores, protección de datos y monitorización remota para organizaciones que prestan servicios de atención y cuidado. Analizamos la situación concreta de cada entidad y proponemos medidas jurídicas y organizativas ajustadas a su actividad.
Solicita una revisión de tu sistema de videovigilancia o utiliza nuestro autodiagnóstico de protección de datos para identificar los principales puntos de mejora.
Y si lo prefieres, envíanos un WhatsApp y hablamos.Marco normativo citado
- Reglamento (UE) 2016/679: artículos 5, 6, 9, 25, 32, 35 y 37.
- Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales: artículos 5, 6, 22, 28, 31, 33 y 34.
