{"id":87706,"date":"2026-03-17T17:05:35","date_gmt":"2026-03-17T16:05:35","guid":{"rendered":"https:\/\/flameanalytics.com\/?p=87706"},"modified":"2026-04-11T20:44:20","modified_gmt":"2026-04-11T19:44:20","slug":"rgpd-video-analitica-compliance-centros-comerciales","status":"publish","type":"post","link":"https:\/\/flameanalytics.com\/es\/rgpd-video-analitica-compliance-centros-comerciales\/","title":{"rendered":"RGPD y Video anal\u00edtica: Gu\u00eda para centros comerciales"},"content":{"rendered":"
\"RGPD<\/figure>\n
\n

Tu centro comercial necesita datos de tr\u00e1fico para optimizar operaciones, negociar con operadores y justificar inversiones. Pero cada c\u00e1mara que instalas abre una pregunta inc\u00f3moda: \u00bfestamos cumpliendo con el RGPD? La paradoja es real: los retailers que m\u00e1s datos necesitan son los que m\u00e1s riesgo regulatorio asumen. Esta gu\u00eda te explica exactamente qu\u00e9 puedes medir, qu\u00e9 no, y c\u00f3mo implementar video-anal\u00edtica sin que tu DPO pierda el sue\u00f1o.<\/p>\n<\/div>\n

\ud83d\udcc5 Marzo 2026
\n\u23f1 14 min lectura
\n\ud83d\udcca Fuentes: RGPD, LOPDGDD, EU AI Act, AEPD, EDPB<\/div>\n
\n
\n
1.200M\u20ac<\/div>\n
en multas RGPD
\nacumuladas (2018-2025)<\/div>\n<\/div>\n
\n
Art. 9<\/div>\n
proh\u00edbe tratar
\ndatos biom\u00e9tricos<\/div>\n<\/div>\n
\n
0<\/div>\n
datos biom\u00e9tricos
\ncon Hypersensor<\/div>\n<\/div>\n<\/div>\n
\n

Tabla de contenidos<\/p>\n

    \n
  1. La paradoja del compliance: necesitas datos, temes la multa<\/a><\/li>\n
  2. RGPD y video-anal\u00edtica: qu\u00e9 aplica y qu\u00e9 no<\/a><\/li>\n
  3. La l\u00ednea de la biometr\u00eda: por qu\u00e9 muchos retailers la cruzan sin saberlo<\/a><\/li>\n
  4. 3 niveles de compliance en video-anal\u00edtica<\/a><\/li>\n
  5. El enfoque Hypersensor: anal\u00edtica completa sin biometr\u00eda<\/a><\/li>\n
  6. Checklist: 15 puntos para RGPD compliance en video-anal\u00edtica<\/a><\/li>\n
  7. Errores comunes que llevan a sanciones<\/a><\/li>\n
  8. Preguntas frecuentes<\/a><\/li>\n<\/ol>\n<\/div>\n

    La paradoja del compliance: necesitas datos, temes la multa<\/h2>\n

    Los centros comerciales operan en un entorno cada vez m\u00e1s competitivo. El ecommerce captura cuota de mercado y los propietarios necesitan demostrar valor a operadores y marcas con datos objetivos: tr\u00e1fico real, tasas de conversi\u00f3n, tiempos de permanencia, mapas de calor por zonas.<\/p>\n

    Al mismo tiempo, el marco regulatorio europeo se ha endurecido. El RGPD lleva en vigor desde 2018, la LOPDGDD espa\u00f1ola desde ese mismo a\u00f1o, y el EU AI Act<\/strong><\/a> \u2014 vigente desde agosto de 2024 \u2014 a\u00f1ade una capa adicional espec\u00edfica para sistemas de IA en espacios p\u00fablicos. El resultado: muchos retailers paralizan proyectos de anal\u00edtica por miedo a equivocarse.<\/p>\n

    Pero la realidad es que el RGPD no proh\u00edbe la video-anal\u00edtica<\/strong>. Lo que proh\u00edbe es el tratamiento de datos personales sin base legal. Y ah\u00ed est\u00e1 la clave: no toda anal\u00edtica de v\u00eddeo genera datos personales. Entender esta distinci\u00f3n es lo que separa a los centros comerciales que aprovechan la tecnolog\u00eda de los que la temen.<\/p>\n

    \n

    Dato clave:<\/strong> Seg\u00fan la AEPD, la videovigilancia con fines de seguridad tiene base legal en el inter\u00e9s leg\u00edtimo. Pero cuando a\u00f1ades anal\u00edtica \u2014 conteo, heatmaps, perfilado \u2014 la base legal cambia seg\u00fan el tipo de datos que extraigas. La diferencia entre datos agregados an\u00f3nimos y datos personales identificables determina todo tu framework de compliance.<\/p>\n<\/div>\n

    RGPD y video-anal\u00edtica: qu\u00e9 aplica y qu\u00e9 no<\/h2>\n

    El Reglamento General de Protecci\u00f3n de Datos<\/a> regula el tratamiento de datos personales<\/strong>. Seg\u00fan el art\u00edculo 4, un dato personal es cualquier informaci\u00f3n que permita identificar directa o indirectamente a una persona f\u00edsica. El art\u00edculo 9 va m\u00e1s all\u00e1: proh\u00edbe expresamente el tratamiento de categor\u00edas especiales de datos<\/strong>, entre las que se incluyen los datos biom\u00e9tricos dirigidos a identificar de manera un\u00edvoca a una persona.<\/p>\n

    Para la video-anal\u00edtica en centros comerciales, esto se traduce en tres escenarios claramente diferenciados:<\/p>\n

    \n\n\n\n\n\n\n\n
    Tipo de dato<\/th>\nEjemplo<\/th>\n\u00bfEs dato personal?<\/th>\nArt\u00edculo RGPD<\/th>\n<\/tr>\n<\/thead>\n
    Datos agregados an\u00f3nimos<\/td>\n\u201c527 personas entraron entre 10:00-11:00\u201d<\/td>\nNo<\/td>\nFuera de \u00e1mbito RGPD<\/td>\n<\/tr>\n
    Datos pseudoan\u00f3nimos con tracking<\/td>\n\u201cVisitante #A47 pas\u00f3 8 min en zona B\u201d<\/td>\nZona gris \u2014 depende de la reversibilidad<\/td>\nArt. 6 (inter\u00e9s leg\u00edtimo o consentimiento)<\/td>\n<\/tr>\n
    Datos biom\u00e9tricos identificativos<\/td>\n\u201cMujer, 35 a\u00f1os, ha visitado 3 veces\u201d<\/td>\nS\u00ed \u2014 categor\u00eda especial<\/td>\nArt. 9 (prohibido salvo excepciones)<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n

    El primer escenario \u2014 datos agregados an\u00f3nimos \u2014 no est\u00e1 sujeto al RGPD<\/strong>. Si tu sistema de video-anal\u00edtica produce exclusivamente conteos, flujos y mapas de calor sin posibilidad de identificar o reidentificar a individuos, el reglamento simplemente no aplica. Este es el espacio en el que opera la anal\u00edtica de v\u00eddeo CCTV basada en IA<\/a> sin biometr\u00eda.<\/p>\n

    La l\u00ednea de la biometr\u00eda: por qu\u00e9 muchos retailers la cruzan sin saberlo<\/h2>\n

    Aqu\u00ed es donde la mayor\u00eda de centros comerciales cometen errores. No porque quieran infringir la ley, sino porque no entienden d\u00f3nde est\u00e1 el l\u00edmite. Veamos las funcionalidades que cruzan la l\u00ednea:<\/p>\n

    \n
    Reconocimiento facial<\/strong>
    \nIdentifica individuos por rasgos faciales. Dato biom\u00e9trico directo. Prohibido en espacios p\u00fablicos por el EU AI Act salvo excepciones de seguridad nacional.<\/span><\/div>\n
    Estimaci\u00f3n de edad y g\u00e9nero<\/strong>
    \nAunque sea \u201cestimaci\u00f3n\u201d, la AEPD ha dictaminado que inferir caracter\u00edsticas demogr\u00e1ficas de la imagen facial constituye tratamiento de datos biom\u00e9tricos. Varios proveedores de anal\u00edtica ofrecen esta funci\u00f3n como est\u00e1ndar.<\/span><\/div>\n
    Re-identificaci\u00f3n (Re-ID)<\/strong>
    \nSeguir al mismo individuo entre m\u00faltiples c\u00e1maras usando caracter\u00edsticas de apariencia (ropa, complexi\u00f3n, accesorios). El EDPB considera que si el sistema puede vincular trayectorias a un individuo concreto, se genera un dato personal.<\/span><\/div>\n
    An\u00e1lisis emocional<\/strong>
    \nInferir emociones (satisfacci\u00f3n, frustraci\u00f3n) desde expresiones faciales. Expl\u00edcitamente prohibido por el EU AI Act en el lugar de trabajo y espacios educativos, y severamente restringido en retail.<\/span><\/div>\n<\/div>\n
    \n

    Alerta:<\/strong> Muchos proveedores de anal\u00edtica incluyen estimaci\u00f3n de edad\/g\u00e9nero como funci\u00f3n \u201cpor defecto\u201d en sus dashboards. Si tu sistema la tiene activada \u2014 incluso si no la consultas \u2014 est\u00e1s tratando datos biom\u00e9tricos y necesitas una base legal que probablemente no tienes.<\/p>\n<\/div>\n

    3 niveles de compliance en video-anal\u00edtica<\/h2>\n

    No todas las implementaciones de video-anal\u00edtica son iguales. Dependiendo de la tecnolog\u00eda que utilices, tu nivel de exposici\u00f3n regulatoria cambia radicalmente:<\/p>\n

    \n\n\n\n\n\n\n\n
    Nivel<\/th>\nTecnolog\u00eda<\/th>\nDatos generados<\/th>\nRiesgo RGPD<\/th>\nRequisitos legales<\/th>\n<\/tr>\n<\/thead>\n
    Nivel 1: CCTV b\u00e1sico<\/td>\nC\u00e1maras de seguridad sin anal\u00edtica<\/td>\nGrabaci\u00f3n de v\u00eddeo<\/td>\nMedio<\/td>\nCartel informativo, registro de actividades, EIPD si escala es grande<\/td>\n<\/tr>\n
    Nivel 2: Anal\u00edtica con biometr\u00eda<\/td>\nIA con reconocimiento facial, edad, g\u00e9nero o Re-ID<\/td>\nDatos personales y\/o biom\u00e9tricos<\/td>\nMuy alto<\/td>\nConsentimiento expl\u00edcito, EIPD obligatoria, DPO, registro AEPD, base legal Art. 9<\/td>\n<\/tr>\n
    Nivel 3: Anal\u00edtica privacy-first<\/td>\nIA con detecci\u00f3n de siluetas, sin biometr\u00eda<\/td>\nDatos agregados y an\u00f3nimos<\/td>\nM\u00ednimo<\/td>\nCartel de videovigilancia (por las c\u00e1maras), sin requisitos adicionales por la anal\u00edtica<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n

    La diferencia es cr\u00edtica. Un centro comercial que opera en Nivel 3<\/strong> obtiene los mismos insights operativos (tr\u00e1fico, flujos, zonas calientes, tiempos de permanencia, tasas de conversi\u00f3n) con una fracci\u00f3n del coste legal y regulatorio. No necesita consentimiento expl\u00edcito para la anal\u00edtica, no necesita Evaluaci\u00f3n de Impacto espec\u00edfica por ese motivo, y no tiene riesgo de sanci\u00f3n por tratamiento indebido de datos biom\u00e9tricos.<\/p>\n

    \"Comparativa<\/figure>\n

    El enfoque Hypersensor: anal\u00edtica completa sin biometr\u00eda<\/h2>\n

    Flame Analytics desarroll\u00f3 Hypersensor<\/strong> precisamente para resolver esta paradoja. Es un motor de inteligencia artificial que procesa el v\u00eddeo de c\u00e1maras CCTV existentes y extrae m\u00e9tricas de negocio completas \u2014 sin recopilar, procesar ni almacenar ning\u00fan dato biom\u00e9trico<\/strong>.<\/p>\n

    \u00bfC\u00f3mo es posible obtener datos \u00fatiles sin identificar personas? Porque la mayor\u00eda de decisiones de negocio en retail no requieren saber qui\u00e9n<\/em> es el visitante, sino cu\u00e1ntos<\/em> hay, d\u00f3nde<\/em> van y cu\u00e1nto tiempo<\/em> se quedan. Y eso se puede medir con detecci\u00f3n de siluetas y tracking an\u00f3nimo.<\/p>\n

    \n
    \u2713<\/span>Conteo bidireccional<\/strong> por entrada, planta y zona \u2014 con precisi\u00f3n >95%<\/span><\/div>\n
    \u2713<\/span>Mapas de calor<\/strong> que muestran las zonas m\u00e1s transitadas y los puntos muertos<\/span><\/div>\n
    \u2713<\/span>Tiempos de permanencia<\/strong> por zona, sin vincularlos a ning\u00fan individuo<\/span><\/div>\n
    \u2713<\/span>Flujos de circulaci\u00f3n<\/strong> entre zonas \u2014 patrones de movimiento agregados<\/span><\/div>\n
    \u2713<\/span>Tasas de conversi\u00f3n<\/strong> por operador (entradas tienda \/ tr\u00e1fico pasillo)<\/span><\/div>\n
    \u2713<\/span>Detecci\u00f3n de colas<\/strong> y tiempos de espera en tiempo real<\/span><\/div>\n
    \u2713<\/span>Procesamiento edge<\/strong> \u2014 el v\u00eddeo se analiza en local, nunca sale del centro<\/span><\/div>\n<\/div>\n
    \n

    Diferenciador clave:<\/strong> M\u00e1s de 50 centros comerciales en Espa\u00f1a, M\u00e9xico, Chile, Panam\u00e1, Rep\u00fablica Checa y UK ya utilizan Hypersensor. Clientes como IKEA, Decathlon y Cushman & Wakefield conf\u00edan en este enfoque porque obtienen todos los datos de tr\u00e1fico que necesitan con cero riesgo regulatorio. Sin consentimientos adicionales, sin evaluaciones de impacto por biometr\u00eda, sin almacenamiento de datos personales.<\/p>\n<\/div>\n

    Si buscas entender en detalle c\u00f3mo funciona el sistema de cuenta personas<\/a> sobre el que se construye Hypersensor, consulta nuestra gu\u00eda completa.<\/p>\n

    \"C\u00f3mo<\/figure>\n

    Checklist: 15 puntos para RGPD compliance en video-anal\u00edtica<\/h2>\n

    Independientemente del sistema que utilices, estos son los 15 puntos que todo centro comercial debe verificar antes de implementar o auditar su sistema de video-anal\u00edtica:<\/p>\n

    \n
    1<\/span>Inventario de c\u00e1maras y finalidad:<\/strong> documenta cada c\u00e1mara, su ubicaci\u00f3n y si se usa para seguridad, anal\u00edtica o ambas.<\/span><\/div>\n
    2<\/span>Base legal definida:<\/strong> identifica si operas con inter\u00e9s leg\u00edtimo (seguridad), consentimiento (biometr\u00eda) o no necesitas base legal (datos an\u00f3nimos).<\/span><\/div>\n
    3<\/span>Carteler\u00eda de videovigilancia:<\/strong> visible en todos los accesos, conforme al modelo de la AEPD (responsable, finalidad, derechos).<\/span><\/div>\n
    4<\/span>Registro de actividades de tratamiento:<\/strong> incluir la video-anal\u00edtica en el registro interno (Art. 30 RGPD).<\/span><\/div>\n
    5<\/span>Evaluaci\u00f3n de Impacto (EIPD):<\/strong> obligatoria si hay tratamiento sistem\u00e1tico a gran escala de datos personales. En un centro comercial con anal\u00edtica avanzada, casi siempre aplica \u2014 salvo que uses exclusivamente datos an\u00f3nimos.<\/span><\/div>\n
    6<\/span>Verificar funcionalidades biom\u00e9tricas:<\/strong> revisa si tu sistema incluye estimaci\u00f3n de edad, g\u00e9nero, reconocimiento facial o Re-ID \u2014 incluso si no las usas, si est\u00e1n activas est\u00e1s tratando datos.<\/span><\/div>\n
    7<\/span>Contrato de encargado de tratamiento:<\/strong> si usas un proveedor externo de anal\u00edtica, necesitas un contrato conforme al Art. 28 RGPD.<\/span><\/div>\n
    8<\/span>Transferencias internacionales:<\/strong> \u00bfel v\u00eddeo o los datos se procesan fuera de la UE? Si s\u00ed, necesitas mecanismos de transferencia v\u00e1lidos (cl\u00e1usulas contractuales tipo, decisi\u00f3n de adecuaci\u00f3n).<\/span><\/div>\n
    9<\/span>Minimizaci\u00f3n de datos:<\/strong> recoge solo lo necesario. Si necesitas conteos, no almacenes im\u00e1genes de rostros.<\/span><\/div>\n
    10<\/span>Limitaci\u00f3n de conservaci\u00f3n:<\/strong> las grabaciones de videovigilancia deben eliminarse en 30 d\u00edas m\u00e1ximo (criterio AEPD). Los datos anal\u00edticos an\u00f3nimos no tienen esta restricci\u00f3n.<\/span><\/div>\n
    11<\/span>Seguridad del procesamiento:<\/strong> cifrado en tr\u00e1nsito y en reposo, control de acceso al NVR y al servidor de anal\u00edtica, logs de auditor\u00eda.<\/span><\/div>\n
    12<\/span>Derechos de los interesados:<\/strong> garantiza que los visitantes puedan ejercer acceso, rectificaci\u00f3n, supresi\u00f3n y oposici\u00f3n. Si tus datos son an\u00f3nimos, estos derechos no aplican (no hay interesado identificable).<\/span><\/div>\n
    13<\/span>Privacy by design:<\/strong> la protecci\u00f3n de datos debe estar integrada desde el dise\u00f1o del sistema, no a\u00f1adida despu\u00e9s.<\/span><\/div>\n
    14<\/span>Formaci\u00f3n del equipo:<\/strong> aseg\u00farate de que el personal que accede al sistema entiende qu\u00e9 datos son sensibles y cu\u00e1les no.<\/span><\/div>\n
    15<\/span>Auditor\u00eda peri\u00f3dica:<\/strong> revisa el cumplimiento al menos una vez al a\u00f1o. La tecnolog\u00eda cambia, las actualizaciones de software pueden activar funcionalidades nuevas que no ten\u00edas contempladas.<\/span><\/div>\n<\/div>\n
    \n

    Consejo pr\u00e1ctico:<\/strong> Si operas con un sistema privacy-first como Hypersensor (Nivel 3), los puntos 5, 6, 8, 10 y 12 se simplifican dr\u00e1sticamente o no aplican. Eso no significa que puedas ignorarlos \u2014 significa que tu respuesta a cada uno ser\u00e1 \u201cno aplica porque no tratamos datos personales\u201d, lo cual es la mejor posici\u00f3n posible ante una inspecci\u00f3n.<\/p>\n<\/div>\n

    Errores comunes que llevan a sanciones<\/h2>\n

    Las sanciones de la AEPD y otras autoridades europeas de protecci\u00f3n de datos no suelen llegar por casos extremos. Llegan por errores que parecen menores pero que demuestran falta de diligencia:<\/p>\n

    \n
    \n

    1<\/span><\/p>\n

    Carteler\u00eda insuficiente o ausente<\/strong>
    \nLa AEPD sancion\u00f3 a Mercadona con 2,5 millones de euros (PS\/00120\/2021) en parte por instalar un sistema de reconocimiento facial sin informaci\u00f3n adecuada a los clientes. Incluso para CCTV b\u00e1sico, la carteler\u00eda es obligatoria.<\/span><\/div>\n<\/div>\n
    \n

    2<\/span><\/p>\n

    Funcionalidades biom\u00e9tricas activadas \u201cpor defecto\u201d<\/strong>
    \nAlgunos proveedores incluyen estimaci\u00f3n demogr\u00e1fica como funci\u00f3n est\u00e1ndar. Si no la desactivas expl\u00edcitamente, est\u00e1s tratando datos biom\u00e9tricos. Y \u201cno sab\u00edamos que estaba activada\u201d no es una defensa v\u00e1lida ante la AEPD.<\/span><\/div>\n<\/div>\n
    \n

    3<\/span><\/p>\n

    Conservar grabaciones m\u00e1s de 30 d\u00edas<\/strong>
    \nEl criterio de la AEPD es claro: 30 d\u00edas m\u00e1ximo para grabaciones de videovigilancia. Se han impuesto multas de hasta 50.000\u20ac a negocios que manten\u00edan archivos de meses.<\/span><\/div>\n<\/div>\n
    \n

    4<\/span><\/p>\n

    No realizar la Evaluaci\u00f3n de Impacto<\/strong>
    \nSi tratas datos personales a gran escala mediante videovigilancia, la EIPD es obligatoria. La autoridad francesa (CNIL) mult\u00f3 a Clearview AI con 20 millones de euros por, entre otras cosas, no haber realizado evaluaci\u00f3n de impacto.<\/span><\/div>\n<\/div>\n
    \n

    5<\/span><\/p>\n

    Compartir datos con terceros sin contrato<\/strong>
    \nEnviar datos de tr\u00e1fico a operadores, marcas o consultoras sin un contrato de encargado de tratamiento adecuado viola el Art. 28. Es un error especialmente com\u00fan en centros comerciales que comparten informes con sus inquilinos.<\/span><\/div>\n<\/div>\n<\/div>\n
    \"Sanciones<\/figure>\n

    Preguntas frecuentes<\/h2>\n