AEPD | 29 de septiembre de 2026 — Advertencia preventiva a un ayuntamiento por videovigilancia con analítica de IA y «búsqueda por apariencia»
Identificación de la resolución
Agencia Española de Protección de Datos. Advertencia AI/00171/2026, expediente EXP202621933. Publicada el 6 de octubre de 2026 y firmada por su Presidente, Lorenzo Cotino Hueso. Dictada al amparo del artículo 58.2.a) del RGPD y del artículo 50 de la Ley Orgánica 7/2021.
Objeto de las actuaciones
La AEPD examinó el expediente de contratación CONT-059/2025 de un ayuntamiento de más de 80.000 habitantes, cuyo nombre aparece anonimizado. El contrato tenía por objeto un sistema de videovigilancia de seguridad ciudadana, y la AEPD lo revisó antes de que el sistema se pusiera en funcionamiento.
El pliego de prescripciones técnicas, de 14 de agosto de 2026, preveía:
- 38 cámaras nuevas y la integración de 124 existentes en una plataforma VMS centralizada;
- puestos de visualización en dependencias policiales y municipales;
- cámaras con procesador de IA que detectan y clasifican personas y vehículos analizando el 100 % de la escena el 100 % del tiempo (apartado 6.1.4);
- una «búsqueda por apariencia» para localizar a una persona en grabaciones de varias cámaras por color de ropa y pelo, sexo y grupo de edad, o a partir de una fotografía (apartado 6.1.6);
- el almacenamiento de esa información como metadatos explotables a posteriori (apartado 6.3.4).
La AEPD concluye que se prevé un tratamiento automatizado e individualizado de imágenes de personas mediante IA. La documentación no permite afirmar que haya reconocimiento facial. Tampoco permite saber qué representación técnica (vectores, embeddings, plantillas) genera el sistema para seguir a una persona entre cámaras.
Doctrina establecida
La AEPD justifica que la advertencia tiene una función cautelar. Se apoya en:
- las SSTJUE de 7 de marzo de 2024 (C-604/22) y de 4 de mayo de 2023 (C-60/22), sobre el nivel elevado de protección;
- la STJUE de 26 de septiembre de 2024 (C-768/21), aplicada por analogía, para interpretar de forma amplia los poderes correctivos;
- el apartado 188 de las Conclusiones del Abogado General Spielmann de 23 de septiembre de 2025 (C-474/24).
Con esa base, sostiene que basta la posibilidad de infracción y que la advertencia puede dictarse aunque la información sea incompleta.
Antes de poner el sistema en servicio, el ayuntamiento deberá analizar y documentar:
- la necesidad y proporcionalidad de cada funcionalidad de IA;
- si es necesario tratar sexo, edad, pelo o vestimenta y conservar los metadatos derivados;
- la naturaleza técnica de la búsqueda por apariencia y el tratamiento que recibe la fotografía usada como punto de partida;
- si los equipos incorporan reconocimiento facial, face matching o re-identificación, aunque estén deshabilitados;
- plazos de conservación diferenciados para cada tipo de dato;
- una configuración por defecto mínima.
Desde la LO 7/2021, la resolución fija estos criterios:
- La disponibilidad tecnológica de una función de búsqueda, identificación o seguimiento no justifica por sí misma su uso. Debe acreditarse su necesidad y proporcionalidad para una finalidad policial determinada (artículos 6 y 11).
- El deber de distinguir hechos de apreciaciones y de evitar datos inexactos (artículo 10) alcanza a las inferencias automáticas de sexo o edad y a los resultados probabilísticos de las búsquedas por similitud.
- Si hay identificación biométrica unívoca, se aplica el régimen reforzado de los artículos 4.14 y 9 RGPD y 13 LO 7/2021. Habrá que analizar el embedding, la modalidad de comparación, los umbrales, las tasas de error y la intervención humana.
- La valoración de proporcionalidad de los artículos 15 y 16 no se limita a la instalación de las cámaras. Alcanza a cada capacidad adicional de IA.
- Las decisiones exclusivamente automatizadas con efectos significativos quedan sujetas al artículo 14.
- El plazo general de destrucción de las grabaciones, tres meses, se rige por el artículo 18. Debe fijarse también el régimen de conservación de los metadatos, los vectores y los resultados de coincidencia.
La advertencia ordena al ayuntamiento:
- cumplir los artículos 24 y 25 RGPD y 27 y 28 LO 7/2021;
- realizar, en su caso, la evaluación de impacto antes del tratamiento (artículo 35 de ambas normas);
- informar a los afectados conforme al artículo 13 RGPD y al artículo 21 LO 7/2021;
- ajustar las operaciones de la Policía Local a los artículos 6, 10, 11, 13, 14, 15, 16 y 18 LO 7/2021 antes de implantarlas.
Fundamentos jurídicos relevantes
Normativa: artículos 4.14, 9, 12 a 14, 24, 25, 35, 55.1 y 58.2.a) RGPD; artículos 22, 47 y 89 LOPDGDD; artículos 6, 10, 11, 13, 14, 15, 16, 18, 21, 27, 28, 35, 48 y 50 LO 7/2021. Jurisprudencia: SSTJUE de 4 de mayo de 2023 (C-60/22), 7 de marzo de 2024 (C-604/22) y 26 de septiembre de 2024 (C-768/21). Conclusiones del Abogado General Spielmann de 23 de septiembre de 2025 (C-474/24).
La resolución aplica el poder de advertencia a la fase de contratación pública, a partir del pliego técnico. Extiende a la LO 7/2021 la exigencia de privacidad desde el diseño y de proporcionalidad para cada funcionalidad. Tiene especial interés su tratamiento de la búsqueda por apariencia: aunque no haya reconocimiento facial declarado, la localización de una persona entre cámaras y las inferencias de atributos físicos obligan a documentar la técnica empleada y su encaje legal.
Referencias
- Texto completo: AEPD — AI/00171/2026 (PDF)
- Normativa aplicada: RGPD (arts. 4.14, 9, 12-14, 24, 25, 35, 58.2.a); LOPDGDD (arts. 22, 47, 89); LO 7/2021 (arts. 6, 10, 11, 13-16, 18, 21, 27, 28, 35, 48, 50)