AEPD | 29 de septiembre de 2026 — Advertencia preventiva a un ayuntamiento por grabadores con reconocimiento facial
Identificación de la resolución
Agencia Española de Protección de Datos. Advertencia AI/00170/2026, expediente EXP202621928. Publicada el 6 de octubre de 2026 y firmada por su Presidente, Lorenzo Cotino Hueso. Dictada al amparo del artículo 58.2.a) del RGPD y del artículo 50 de la Ley Orgánica 7/2021.
Objeto de las actuaciones
La AEPD examinó el expediente de contratación 1616529E de un ayuntamiento de más de 30.000 habitantes, cuyo nombre aparece anonimizado. El contrato se titula «Suministro, instalación, puesta en marcha y mantenimiento de sistema de videovigilancia para la seguridad ciudadana».
El pliego de prescripciones técnicas, de 22 de junio de 2026, preveía cámaras en edificios públicos y otras áreas municipales, gestionadas y visualizadas desde las dependencias de la Policía Local. Además, exigía expresamente que los grabadores incorporaran funcionalidades de «detección/reconocimiento facial».
Para la AEPD, esa previsión indica que el sistema podría analizar imágenes de personas mediante IA y, eventualmente, identificarlas de forma unívoca. Sin embargo, la documentación no permitía determinar:
- si esas funcionalidades se activarían;
- si se generarían plantillas o vectores biométricos;
- si habría comparaciones 1:1 o 1:N;
- si se usarían galerías o bases de imágenes de referencia.
Doctrina establecida
La AEPD justifica que la advertencia tiene una función cautelar. Se apoya en:
- las SSTJUE de 7 de marzo de 2024 (C-604/22) y de 4 de mayo de 2023 (C-60/22), sobre el nivel elevado de protección;
- la STJUE de 26 de septiembre de 2024 (C-768/21), aplicada por analogía, para interpretar de forma amplia los poderes correctivos;
- el apartado 188 de las Conclusiones del Abogado General Spielmann de 23 de septiembre de 2025 (C-474/24).
Con esa base, sostiene que basta la posibilidad de infracción y que la advertencia puede dictarse aunque la información sea incompleta. Distingue además dos regímenes según la finalidad de cada operación: las sujetas al RGPD y las policiales, sujetas a la LO 7/2021.
Antes de poner el sistema en servicio, el ayuntamiento deberá documentar:
- la necesidad y proporcionalidad de cada funcionalidad de IA;
- la aplicación efectiva de la minimización de datos y de la limitación de la finalidad;
- la desactivación por defecto de las funcionalidades innecesarias;
- los datos y metadatos generados y sus plazos de conservación;
- los perfiles de acceso y el acceso remoto;
- las garantías frente a futuras actualizaciones o ampliaciones.
La resolución fija estos criterios:
- Conforme a los artículos 6 y 11 LO 7/2021, el reconocimiento facial y cualquier forma de identificación o re-identificación deben permanecer deshabilitados mientras no se haya justificado su necesidad y proporcionalidad para una finalidad policial concreta. La mera disponibilidad técnica no basta.
- Si se identifica a personas de forma unívoca, se aplica el régimen de los artículos 4.14 y 9 RGPD y 13 LO 7/2021. Será exigible la estricta necesidad y deberán evaluarse las bases de referencia, el procedimiento de comparación, los umbrales, los falsos positivos y negativos, la intervención humana y las consecuencias de una coincidencia.
- La proporcionalidad de los artículos 15 y 16 LO 7/2021 se valora para cada funcionalidad de análisis automatizado, no solo para la instalación de las cámaras.
- El análisis de riesgos debe cubrir todo el ciclo de vida del sistema: requisitos, contratación, parametrización, actualizaciones de software o de modelos de IA, ampliaciones, cambios de finalidad y retirada. Activar nuevas capacidades de identificación exige una evaluación previa específica.
- El plazo general de destrucción de las grabaciones, tres meses, se rige por el artículo 18 LO 7/2021. Debe fijarse también el régimen de conservación de los datos derivados.
La advertencia ordena al ayuntamiento:
- cumplir los artículos 24 y 25 RGPD y 27 y 28 LO 7/2021;
- realizar, en su caso, la evaluación de impacto antes del tratamiento;
- informar a los afectados conforme al artículo 13 RGPD y al artículo 21 LO 7/2021;
- ajustar las operaciones de la Policía Local a los artículos 6, 11, 13, 15, 16 y 18 LO 7/2021.
Fundamentos jurídicos relevantes
Normativa: artículos 4.14, 9, 12 a 14, 24, 25, 35, 55.1 y 58.2.a) RGPD; artículos 22, 47 y 89 LOPDGDD; artículos 6, 11, 13, 15, 16, 18, 21, 27, 28, 35, 48 y 50 LO 7/2021. Jurisprudencia: SSTJUE de 4 de mayo de 2023 (C-60/22), 7 de marzo de 2024 (C-604/22) y 26 de septiembre de 2024 (C-768/21). Conclusiones del Abogado General Spielmann de 23 de septiembre de 2025 (C-474/24).
La resolución aplica el poder de advertencia a la fase de contratación pública. Su aportación principal es la regla de desactivación por defecto: incluir el reconocimiento facial en un pliego no habilita su uso, que requiere una justificación y una evaluación previas y específicas. La exigencia de analizar el ciclo de vida completo del sistema traslada esa cautela a las actualizaciones posteriores del hardware y del software.
Referencias
- Texto completo: AEPD — AI/00170/2026 (PDF)
- Normativa aplicada: RGPD (arts. 4.14, 9, 12-14, 24, 25, 35, 58.2.a); LOPDGDD (arts. 22, 47, 89); LO 7/2021 (arts. 6, 11, 13, 15, 16, 18, 21, 27, 28, 35, 48, 50)