Imagen generada con IA.
Un error al hacer una devolución, una empleada que enseña un vídeo de las cámaras de seguridad en su móvil y, después, ese mismo vídeo reenviado por WhatsApp al teléfono personal de la clienta. Así de sencillo —y así de caro— ha sido el camino hacia una sanción de 20.000 euros de la Agencia Española de Protección de Datos (AEPD) contra un pequeño negocio de alimentación de Madrid. El caso es una lección directa para cualquier comercio con cámaras de videovigilancia: tener las cámaras instaladas correctamente no sirve de nada si luego se usan las grabaciones de la forma equivocada.
El caso: una tienda envía por WhatsApp un vídeo de sus cámaras para justificar un cobro
Todo empezó con una devolución. Una clienta habitual de Novates Alimentación Madrid S.L. había recibido dinero de más al devolver un producto en el establecimiento. Cuando volvió más tarde a hacer nuevas compras, el personal de la tienda le indicó que la devolución se había tramitado de forma errónea y que debía reintegrar parte del importe recibido.
Para justificar esa reclamación, una cajera le enseñó en su propio móvil un vídeo procedente del sistema de videovigilancia del establecimiento, en el que se veía el momento exacto de la devolución. Pero el asunto no terminó ahí: ese mismo vídeo fue reenviado, a través de WhatsApp, al teléfono personal de la clienta. Un detalle adicional agravó el problema: el vídeo no mostraba solo a la reclamante, sino también a otras dos personas clientas del establecimiento, cuyas imágenes viajaron igualmente por ese canal sin ningún control.
La clienta, en lugar de limitarse a devolver el dinero, presentó una reclamación ante la AEPD. En ella señalaba que las imágenes captadas por las cámaras habían sido accesibles para al menos dos personas dentro de la tienda y que, además, habían acabado circulando por un servicio de mensajería instantánea hasta su móvil personal.
Por qué usar las grabaciones fuera de su finalidad original es ilegal
Cuando un comercio instala cámaras de seguridad, la finalidad de ese tratamiento de datos es, casi siempre, garantizar la seguridad de personas y bienes: prevenir robos, agresiones o incidentes, y disponer de pruebas en caso de que ocurran. Esa finalidad concreta es la que debe figurar en el cartel informativo de la entrada y la que legitima, frente al RGPD, que la cámara esté grabando.
Usar esas mismas grabaciones para otro fin —en este caso, para justificar ante una clienta que se le entregó dinero de más y reclamarle su devolución— es un uso distinto del originalmente previsto. El principio de limitación de la finalidad, recogido en el artículo 5.1.b) del RGPD, exige que los datos personales se traten únicamente para los fines determinados y explícitos que motivaron su recogida, salvo que exista una base jurídica adicional para el nuevo uso. Un negocio no puede convertir sus cámaras de seguridad en una herramienta de gestión de cobros o reclamaciones económicas sin salirse de lo que sus propios clientes esperan razonablemente cuando ven el cartel de «zona videovigilada» en la puerta.
El riesgo añadido de enviarlas por canales sin control de acceso
Más allá del problema de la finalidad, la resolución de la AEPD pone el foco en algo todavía más determinante: la falta de medidas de seguridad en el tratamiento de las imágenes. La Agencia concluyó que el tratamiento «carecía de las medidas de seguridad de índole técnica y organizativa que prescribe el Reglamento General de Protección de Datos, dirigidas a evitar accesos no autorizados a las imágenes captadas, así como su eventual difusión posterior», lo que supone una infracción del artículo 32 del RGPD, tipificada como infracción grave en el artículo 83.4.
Que una cajera pueda visualizar libremente en su propio teléfono una grabación de las cámaras del negocio, y que además pueda reenviarla por WhatsApp a un tercero sin ningún tipo de control ni autorización, revela una ausencia total de procedimientos internos sobre quién puede acceder a las grabaciones, para qué y por qué canal. WhatsApp, como cualquier aplicación de mensajería personal, no ofrece ningún control corporativo sobre esas imágenes una vez enviadas: no hay forma de auditar quién las ha visto, reenviado o guardado. Y en este caso concreto, ese envío incontrolado expuso también los datos de otras dos personas clientas que ni siquiera formaban parte del conflicto original.
Qué SÍ puedes hacer con tus grabaciones de videovigilancia comercial
Esto no significa que un negocio no pueda usar nunca sus grabaciones más allá de la mera custodia. La normativa permite, por ejemplo, conservar las imágenes durante el plazo legal habitual de un mes y utilizarlas para su finalidad de seguridad: identificar a un autor de un hurto, aportarlas como prueba ante la policía o un juzgado, o entregarlas a las Fuerzas y Cuerpos de Seguridad si lo requieren. También es razonable revisarlas internamente, de forma restringida, para esclarecer una incidencia operativa como un error de caja, siempre que el acceso quede limitado a las personas estrictamente necesarias y no se comparta la imagen con terceros ajenos al negocio sin las garantías adecuadas.
Lo que no es admisible es reconvertir esas imágenes en un medio de prueba informal para reclamar dinero a un cliente y, mucho menos, distribuirlas por un canal de mensajería personal sin control alguno sobre su destino final.
Buenas prácticas para negocios con cámaras de seguridad
Para evitar situaciones como la de Novates Alimentación, cualquier comercio con videovigilancia debería aplicar unas reglas sencillas: limitar el acceso a las grabaciones a personal autorizado y designado expresamente, evitar visualizar o compartir imágenes desde dispositivos personales, nunca reenviar grabaciones por aplicaciones de mensajería instantánea, y usar las imágenes únicamente para la finalidad de seguridad que justificó su instalación. Si una incidencia con un cliente requiere aportar una grabación como prueba, el cauce correcto es una denuncia o un procedimiento formal, no un WhatsApp directo desde el móvil de un empleado.
En Dataibérica ayudamos a comercios y autónomos a revisar su política de videovigilancia y los procedimientos internos de acceso a las grabaciones, para que las cámaras cumplan su función de seguridad sin convertirse en un riesgo de sanción. Contacta con nosotros si tu negocio tiene cámaras de seguridad y quieres asegurarte de que su uso es conforme al RGPD.
Conclusión
Los 20.000 euros de sanción a esta pequeña tienda de alimentación —reducidos a 12.000 tras el pago voluntario— demuestran que el riesgo de las cámaras de seguridad no está solo en instalarlas mal, sino en usarlas mal después: para un fin distinto al que las justifica, y por un canal, como WhatsApp, que ningún negocio puede controlar una vez pulsado «enviar».
Fuente principal: Confilegal — Un error al entregar el cambio a una clienta lleva a una pequeña tienda de alimentación a ser sancionada con 20.000 € (17/03/2026).
