Cámaras de seguridad y privacidad: lo que tu negocio debe cumplir según la LFPDPPP

Cámaras por todas partes, cumplimiento legal en casi ninguna

Las cámaras de seguridad se han convertido en una herramienta prácticamente universal para los negocios en México. Desde la tienda de conveniencia en la esquina hasta corporativos con cientos de empleados, la videovigilancia es hoy la medida de seguridad más común. Según datos del INEGI, más del 40% de las unidades económicas en México cuentan con algún sistema de CCTV. Sin embargo, la inmensa mayoría de estos negocios desconoce que las grabaciones de video constituyen datos personales y que su tratamiento está regulado por la ley.

La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), vigente desde 2010, establece obligaciones claras para cualquier particular — persona física o moral — que recabe, almacene o trate datos personales. Y sí, las imágenes captadas por cámaras de videovigilancia son datos personales. Esto significa que tu negocio tiene obligaciones legales que probablemente no está cumpliendo.

Esta guía está dirigida a dueños de negocios, administradores de inmuebles y responsables de seguridad que quieren operar dentro del marco legal. No es un texto jurídico, sino una explicación práctica de lo que debes hacer para que tu sistema de cámaras cumpla con la normativa y evites sanciones que pueden alcanzar millones de pesos.

Si aún no tienes un sistema de videovigilancia y estás evaluando opciones, consulta nuestro artículo sobre tendencias en tecnología de seguridad privada para conocer las opciones más modernas del mercado.

Qué dice la LFPDPPP sobre la videovigilancia

La LFPDPPP no tiene un capítulo específico dedicado a las cámaras de seguridad, pero su marco general aplica plenamente a la videovigilancia porque las imágenes de personas son, sin discusión, datos personales. Entender esto es el punto de partida.

Las imágenes son datos personales

El artículo 3, fracción V de la LFPDPPP define “datos personales” como cualquier información concerniente a una persona física identificada o identificable. Una grabación de video en la que se puede distinguir el rostro de una persona — o cualquier otro rasgo que permita identificarla — es, por definición, un dato personal.

Esto tiene una implicación directa: todo negocio que opere cámaras de seguridad está tratando datos personales y, por lo tanto, está sujeto a todas las obligaciones de la LFPDPPP como “responsable del tratamiento”.

Datos biométricos: cuando usas reconocimiento facial

Si tu sistema de videovigilancia incluye tecnología de reconocimiento facial, análisis de comportamiento mediante inteligencia artificial, o cualquier función que procese características biométricas, entonces estás tratando datos personales sensibles. Los datos biométricos están clasificados como sensibles por la LFPDPPP, lo que implica un nivel de protección aún mayor:

• Se requiere consentimiento expreso y por escrito del titular para su tratamiento.
• Las medidas de seguridad deben ser más estrictas.
• Las sanciones por incumplimiento son más severas.
• No basta con un aviso simplificado; debe existir un consentimiento informado previo.

Para la mayoría de los negocios en México, la recomendación es clara: a menos que tengas una necesidad operativa específica y un marco de cumplimiento robusto, evita las funciones de reconocimiento facial en tu sistema de CCTV. El costo regulatorio supera con creces el beneficio para la mayoría de los casos de uso.

Obligaciones concretas para negocios con cámaras

Una vez que aceptas que operar cámaras implica tratar datos personales, las obligaciones son claras. Aquí las desglosamos de manera práctica.

1. Aviso de privacidad simplificado (señalética)

El artículo 36 del Reglamento de la LFPDPPP establece que cuando los datos personales se obtienen de forma indirecta — es decir, sin que el titular los proporcione directamente, como es el caso de la videovigilancia — el responsable debe poner a disposición del titular un aviso de privacidad. En la práctica, esto se traduce en señalética visible en todas las entradas al área vigilada.

El aviso simplificado debe incluir, como mínimo:

• Identidad del responsable: nombre o razón social de la empresa que opera las cámaras.
• Finalidad del tratamiento: por ejemplo, “videovigilancia con fines de seguridad patrimonial”.
• Mecanismo para conocer el aviso de privacidad integral: una URL, un código QR, o indicar que está disponible en recepción.

Un letrero que simplemente diga “Área vigilada” o “Sonría, lo estamos filmando” no cumple con la ley. El aviso debe contener la información mínima descrita arriba.

2. Aviso de privacidad integral

Además de la señalética, tu aviso de privacidad integral — ese documento más extenso que probablemente ya tienes en tu sitio web o en tu local — debe mencionar explícitamente que recabas datos personales mediante videovigilancia. Debe incluir:

• Qué tipo de datos se recaban (imágenes, y en su caso, audio o datos biométricos).
• La finalidad específica (seguridad patrimonial, control de acceso, prevención de pérdidas, etc.).
• El plazo de almacenamiento de las grabaciones.
• Si las grabaciones se comparten con terceros (por ejemplo, aseguradoras, autoridades ante denuncia, empresa de monitoreo).
• Los mecanismos para que los titulares ejerzan sus derechos ARCO.

3. Principio de minimización de datos

La LFPDPPP establece el principio de proporcionalidad: solo debes recabar los datos personales estrictamente necesarios para la finalidad declarada. En el contexto de videovigilancia, esto significa:

• No colocar cámaras en áreas donde no son necesarias para la seguridad.
• No captar audio si la finalidad es únicamente visual.
• Ajustar los ángulos de las cámaras para no grabar áreas públicas o propiedades vecinas innecesariamente.
• No utilizar las grabaciones para fines distintos a los declarados en el aviso de privacidad.

4. Limitación de finalidad

Si declaras que tus cámaras son para “seguridad patrimonial”, no puedes usar las grabaciones para monitorear la productividad de tus empleados, evaluar su desempeño o verificar la puntualidad — a menos que hayas declarado esas finalidades adicionales en tu aviso de privacidad y tengas el consentimiento correspondiente.

Este es uno de los errores más comunes. Muchos negocios instalan cámaras “por seguridad” pero terminan usándolas para vigilar a su personal. Esto constituye un tratamiento de datos personales fuera de la finalidad declarada y es una violación directa de la ley.

Qué puedes y qué no puedes grabar

No todo espacio puede ser vigilado con cámaras, incluso dentro de tu propia propiedad. Existen límites claros que debes respetar.

Áreas donde SÍ puedes instalar cámaras

• Accesos y salidas: puertas principales, estacionamientos, áreas de carga y descarga.
• Áreas comunes: pasillos, recepciones, salas de espera, comedores, áreas de producción.
• Áreas de alto valor: almacenes, bodegas, cajas registradoras, áreas de manejo de efectivo.
• Perímetro exterior: fachadas, cercas, puntos de acceso vehicular.

Áreas donde NO puedes instalar cámaras

• Baños y vestidores: Jamás. No existe justificación de seguridad que permita la grabación en estos espacios. Constituye un delito contra la intimidad personal.
• Áreas de descanso privadas: Si tu empresa tiene dormitorios, cuartos de descanso cerrados o áreas designadas como privadas para empleados, no deben tener cámaras.
• Consultorios médicos dentro de la empresa: Si cuentas con servicio médico interno, el consultorio es un espacio protegido por el secreto profesional.
• Áreas sindicales: Los espacios designados para actividades sindicales gozan de protección especial.

Restricciones sobre la grabación de audio

La captación de audio tiene restricciones adicionales. En México, la grabación de conversaciones privadas sin consentimiento puede constituir un delito tipificado en el Código Penal Federal (intervención de comunicaciones privadas). Si tu sistema de CCTV tiene micrófonos activados, debes:

• Declararlo explícitamente en tu aviso de privacidad.
• Tener una justificación clara para la captación de audio.
• Informar de manera visible que el área está siendo grabada con audio y video.

La recomendación general es desactivar la grabación de audio a menos que exista una necesidad de seguridad demostrable y documentada, como en áreas de atención al cliente donde se necesita evidencia ante reclamaciones.

Almacenamiento y retención de grabaciones

Uno de los aspectos que más confunde a los negocios es cuánto tiempo deben (o pueden) conservar las grabaciones. La LFPDPPP no establece un plazo específico, pero sí obliga a que definas uno y lo respetes.

Plazos recomendados de retención

No existe un plazo único establecido por ley. Sin embargo, las mejores prácticas del sector y las recomendaciones del INAI sugieren:

• Uso básico de seguridad: 30 a 90 días es el rango más común y razonable.
• Sectores regulados (financiero, salud): pueden aplicar plazos específicos de su normativa sectorial.
• Grabaciones relacionadas con incidentes: deben conservarse hasta que concluya la investigación o el proceso legal correspondiente.

Lo importante es que definas un plazo, lo documentes en tu aviso de privacidad y lo cumplas. No puedes conservar grabaciones indefinidamente “por si acaso”. El almacenamiento excesivo de datos personales viola el principio de proporcionalidad.

Seguridad del almacenamiento

Las grabaciones deben almacenarse con medidas de seguridad adecuadas. Esto incluye:

• Acceso restringido: solo personal autorizado debe poder acceder a las grabaciones. Define por escrito quiénes tienen acceso y registra cada consulta.
• Protección física: el DVR/NVR debe estar en un área cerrada con llave, no en un mostrador a la vista de cualquiera.
• Protección digital: contraseñas robustas, cifrado si el almacenamiento es en la nube, actualizaciones de firmware del equipo de grabación.
• Procedimiento de eliminación: cuando se cumpla el plazo de retención, las grabaciones deben eliminarse de forma segura, no simplemente sobrescribirse. Documenta el proceso.

Un proveedor de monitoreo y alarmas profesional puede ayudarte a configurar políticas de retención automatizadas y acceso controlado en tu sistema de CCTV.

Derechos ARCO: cuando alguien pide ver las grabaciones

Los derechos ARCO — Acceso, Rectificación, Cancelación y Oposición — son derechos fundamentales de los titulares de datos personales. En el contexto de videovigilancia, funcionan así:

Derecho de Acceso

Cualquier persona que haya sido grabada por tus cámaras tiene derecho a solicitar acceso a las grabaciones en las que aparece. Debes tener un procedimiento para atender estas solicitudes, que incluya:

• Verificar la identidad del solicitante.
• Localizar las grabaciones relevantes (fecha, hora, ubicación).
• Proporcionar una copia o permitir la visualización, protegiendo los datos de terceros que aparezcan en las mismas grabaciones (por ejemplo, difuminando rostros de otras personas).
• Responder en un plazo máximo de 20 días hábiles.

Derecho de Cancelación

El titular puede solicitar la eliminación de grabaciones en las que aparece, a menos que exista una obligación legal o un interés legítimo que justifique su conservación (por ejemplo, una investigación en curso o una obligación contractual con una aseguradora).

Derecho de Oposición

Una persona puede oponerse al tratamiento de sus datos personales. En la práctica, esto es más complejo en el contexto de videovigilancia, ya que no siempre es factible excluir a una persona específica de la grabación. Sin embargo, debes evaluar cada solicitud y, si la oposición es fundada, considerar alternativas como ajustar los ángulos de las cámaras o las áreas grabadas.

Procedimiento recomendado

Designa a una persona o departamento como responsable de atender solicitudes ARCO. Puede ser tu oficial de protección de datos (si cuentas con uno), tu departamento jurídico, o incluso el responsable de seguridad. Lo importante es que exista un canal claro, documentado en tu aviso de privacidad, para que los titulares puedan ejercer sus derechos.

Vigilancia de empleados: implicaciones laborales

La videovigilancia en el lugar de trabajo tiene consideraciones adicionales que van más allá de la LFPDPPP y tocan la Ley Federal del Trabajo (LFT) y la jurisprudencia laboral.

Consentimiento laboral

Si bien la LFT no prohíbe expresamente la videovigilancia en centros de trabajo, la instalación de cámaras para monitorear empleados requiere:

• Informar previamente a los trabajadores sobre la existencia de cámaras, su ubicación y la finalidad.
• Incluir la videovigilancia en el aviso de privacidad laboral que todo empleador debe proporcionar a sus trabajadores.
• No utilizar las grabaciones como única evidencia para sanciones disciplinarias sin un marco contractual que lo respalde.
• Respetar los espacios de privacidad del trabajador (comedores, áreas de descanso, vestidores).

Comité mixto y reglamento interior

La recomendación es incluir las políticas de videovigilancia en el Reglamento Interior de Trabajo y, en su caso, negociar con el sindicato los alcances del sistema. Esto brinda certeza jurídica tanto al empleador como a los trabajadores y reduce el riesgo de conflictos laborales.

Uso de grabaciones en procedimientos laborales

Las grabaciones de CCTV pueden ser utilizadas como prueba en juicios laborales, pero su valor probatorio depende de que se hayan obtenido de forma lícita. Si las cámaras se instalaron sin informar a los trabajadores o sin un aviso de privacidad adecuado, la prueba podría ser desechada por el tribunal por haberse obtenido en violación a derechos fundamentales. Conoce más sobre el marco regulatorio general en nuestra guía sobre regulación de la seguridad privada en México.

Lista de verificación práctica de cumplimiento

Usa esta lista para verificar que tu sistema de videovigilancia cumple con la LFPDPPP. Si no puedes marcar todos los puntos, tienes áreas de oportunidad que debes atender:

1. Señalética en todas las entradas: tienes letreros visibles en cada acceso al área vigilada que indican la existencia de cámaras, la identidad del responsable y la finalidad.
2. Aviso de privacidad integral actualizado: tu aviso de privacidad menciona explícitamente la recolección de datos mediante videovigilancia, las finalidades, el plazo de retención y los mecanismos para ejercer derechos ARCO.
3. Registro de cámaras: tienes un inventario documentado de todas las cámaras instaladas, su ubicación, ángulo de cobertura y finalidad específica.
4. Política de retención definida: existe un plazo documentado de conservación de grabaciones (idealmente entre 30 y 90 días) y un procedimiento de eliminación segura.
5. Acceso controlado a grabaciones: solo personal autorizado puede acceder a las grabaciones, y cada acceso queda registrado (quién, cuándo, por qué).
6. DVR/NVR protegido físicamente: el equipo de grabación está en un área cerrada con llave, protegido contra robo y manipulación.
7. Contraseñas robustas: el sistema de CCTV tiene contraseñas seguras, no las de fábrica. Si usas almacenamiento en la nube, la conexión está cifrada.
8. No hay cámaras en áreas prohibidas: verificaste que no existen cámaras en baños, vestidores, áreas médicas o espacios designados como privados.
9. Audio desactivado (o debidamente notificado): los micrófonos están desactivados o, si están activos, está declarado en el aviso de privacidad y existe justificación documentada.
10. Procedimiento ARCO documentado: existe un canal claro para que cualquier persona solicite acceso a grabaciones en las que aparece, y un responsable designado para atender estas solicitudes dentro del plazo legal.
11. Aviso de privacidad laboral: si las cámaras graban a empleados, el aviso de privacidad laboral incluye la videovigilancia y los trabajadores fueron informados.
12. Coherencia entre finalidad y uso: el uso real de las grabaciones coincide con las finalidades declaradas en el aviso de privacidad. No usas cámaras de “seguridad” para monitorear productividad sin haberlo declarado.

Cómo te ayuda una empresa de seguridad profesional

Un proveedor de seguridad privada profesional no solo instala cámaras: te ayuda a operar dentro del marco legal. Las empresas de seguridad registradas ante la Dirección General de Seguridad Privada (DGSP) conocen las obligaciones regulatorias y pueden asesorarte en el cumplimiento. Esto incluye:

• Diseño del sistema conforme a ley: ubicación de cámaras que maximice la seguridad sin violar áreas prohibidas, ángulos de cobertura apropiados y configuración sin audio innecesario.
• Redacción de avisos de privacidad: muchos proveedores ofrecen plantillas de avisos de privacidad simplificados e integrales que cumplen con los requisitos de la LFPDPPP para videovigilancia.
• Configuración de políticas de retención: programación del DVR/NVR para sobrescritura automática según el plazo definido, con registros de acceso y respaldos controlados.
• Integración con control de acceso: los sistemas modernos de control de acceso se integran con videovigilancia para ofrecer una solución de seguridad completa y conforme a la normativa.
• Monitoreo profesional con protocolos legales: un servicio de monitoreo y alarmas profesional tiene sus propios avisos de privacidad y protocolos de manejo de grabaciones que complementan los tuyos.
• Auditorías periódicas: revisión del cumplimiento de tu sistema de videovigilancia con las obligaciones legales, incluyendo la verificación de señalética, avisos de privacidad y políticas de retención.

Trabajar con un proveedor profesional reduce significativamente el riesgo de incumplimiento y te permite concentrarte en operar tu negocio con la tranquilidad de que tu sistema de seguridad opera dentro de la ley. Para entender el panorama regulatorio completo del sector, consulta nuestra guía sobre regulación de seguridad privada en México.

Videovigilancia y tecnología: consideraciones adicionales

La tecnología de videovigilancia evoluciona rápidamente, y con ella surgen nuevos desafíos legales. Algunas consideraciones que debes tener en cuenta si estás actualizando o expandiendo tu sistema:

• Cámaras con almacenamiento en la nube: si tus grabaciones se almacenan en servidores fuera de México, debes cumplir con las disposiciones de transferencia internacional de datos personales de la LFPDPPP (artículos 36 y 37). Verifica que tu proveedor de nube tenga servidores en México o que cuente con las garantías adecuadas.
• Inteligencia artificial y analítica de video: los sistemas que analizan automáticamente el comportamiento de las personas (detección de merodeo, conteo de personas, mapas de calor) pueden implicar un tratamiento adicional de datos personales que debe estar contemplado en tu aviso de privacidad.
• Cámaras con conectividad IoT: las cámaras IP conectadas a internet son vulnerables a hackeos si no se configuran correctamente. Cambia las contraseñas de fábrica, actualiza el firmware regularmente y segmenta la red de videovigilancia de tu red corporativa.

Consulta nuestro artículo sobre tendencias en tecnología de seguridad privada para una visión más completa de las opciones disponibles en el mercado mexicano.

Preguntas frecuentes sobre cámaras y privacidad

¿Necesito permiso del gobierno para instalar cámaras en mi negocio?

No necesitas un permiso gubernamental para instalar cámaras dentro de tu propiedad privada. Sin embargo, sí debes cumplir con las obligaciones de la LFPDPPP descritas en este artículo (avisos de privacidad, políticas de retención, etc.). Si las cámaras captan áreas públicas (como banquetas o calles), consulta la normativa municipal de tu localidad, ya que algunas alcaldías tienen disposiciones específicas.

¿Un cliente puede exigirme que borre la grabación en la que aparece?

Sí, puede ejercer su derecho de cancelación. Debes evaluar si existe una razón legítima para conservar la grabación (por ejemplo, un incidente de seguridad documentado). Si no la hay, estás obligado a eliminarla dentro del plazo legal. Recuerda que debes proteger los datos de terceros que aparezcan en la misma grabación.

¿Puedo compartir grabaciones de mis cámaras con la policía?

Sí, puedes compartir grabaciones con autoridades en el marco de una investigación o denuncia. La LFPDPPP contempla excepciones para el cumplimiento de obligaciones legales y la procuración de justicia. Sin embargo, es recomendable que la entrega se haga mediante solicitud formal (oficio) y que documentes la entrega para tu respaldo.

¿Qué pasa si mis cámaras graban la propiedad del vecino?

Debes ajustar el ángulo de tus cámaras para evitar captar áreas de propiedades vecinas. Si no puedes evitarlo completamente por la ubicación de la cámara, al menos asegúrate de no grabar áreas donde se espera privacidad (ventanas, patios interiores). Un vecino puede presentar una queja ante el INAI si considera que tu sistema de cámaras viola su privacidad.

Da el siguiente paso: protege tu negocio con cumplimiento legal

Tener cámaras de seguridad es una decisión inteligente para proteger tu negocio. Pero operar esas cámaras sin cumplir con la LFPDPPP te expone a multas millonarias, demandas laborales y la invalidación de pruebas que podrías necesitar en un momento crítico. La buena noticia es que el cumplimiento no es complicado: requiere voluntad, documentación y, en la mayoría de los casos, la asesoría de un proveedor profesional.

Si estás evaluando instalar o actualizar tu sistema de videovigilancia, o si ya tienes cámaras y quieres asegurarte de que cumplen con la ley, da el primer paso:

• Solicita cotizaciones de empresas de seguridad registradas que te asesoren en el diseño, instalación y cumplimiento legal de tu sistema de CCTV.
• Usa nuestro cotizador de seguridad privada para obtener un estimado rápido del costo de un sistema de videovigilancia profesional para tu negocio.

La seguridad de tu negocio y el cumplimiento legal no son opciones mutuamente excluyentes. Con la asesoría correcta, puedes tener ambas.