La resolución, publicada el 27 de octubre, se suma a las del Incasòl y el Ayuntamiento de Terrassa de esta primavera. Las tres comparten el mismo fallo de fondo: cámaras gestionadas por una empresa externa sin el contrato de encargado que exige la ley. Ninguna acaba en multa
Durante casi dos años, una cámara instalada en el sótano del edificio de consultas externas del Hospital Universitari de Bellvitge grabó las cajas registradoras de la cafetería, el bufé y parte de las mesas donde comen pacientes, visitantes y personal sanitario. No estaba allí por seguridad. El propio hospital lo dejó por escrito ante la Autoritat Catalana de Protecció de Dades (APDCAT): la cámara servía para controlar la afluencia de clientes, organizar el servicio y acortar las esperas. La autoridad catalana ha resuelto que ese uso carecía de base legal. Ha declarado que el hospital, dependiente del Institut Català de la Salut (ICS), cometió tres infracciones del Reglamento General de Protección de Datos (RGPD). Lo hace en la resolución del procedimiento sancionador PS-0008/2026, fechada el 28 de mayo y publicada el 27 de octubre en la sede electrónica de la APDCAT.
La cámara de la cafetería explica el titular. Pero la infracción que debería preocupar a cualquier organización que contrata fuera su seguridad es otra. Entre el 31 de diciembre de 2024 y el 1 de mayo de 2025, la empresa que operaba todo el sistema de videovigilancia del hospital, Securitas Seguridad España, siguió tratando imágenes sin un contrato de encargado del tratamiento en vigor. El contrato anterior, de noviembre de 2020, había agotado su última prórroga. El nuevo, salido de otra licitación, no empezó a regir hasta mayo. Fueron cuatro meses de servicio sin el documento que lo ampara.
El encargado del tratamiento es, en el lenguaje del RGPD, quien maneja datos personales por cuenta de otro, al que la norma llama responsable. El artículo 28 exige que esa relación se rija por un contrato que fije el objeto, la duración, la finalidad, los datos afectados y, sobre todo, las instrucciones documentadas a las que queda sujeta la empresa. Sin él, el vigilante que mira el monitor no tiene un marco escrito que le diga qué puede hacer con lo que ve. Con Bellvitge, son ya tres las resoluciones de la APDCAT desde abril que reprochan ese mismo vacío a una administración catalana.
Una cámara para las colas no es una cámara de seguridad
El artículo 22.1 de la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD) solo admite la videovigilancia para preservar la seguridad de las personas, los bienes y las instalaciones. En abril de 2025, el hospital sugirió que la cámara, puesta en marcha el 6 de marzo de 2024, también podía cumplir esa función. En diciembre rectificó: su finalidad era únicamente monitorizar las colas. La APDCAT responde que controlar los tiempos de espera no figura entre los fines que la ley permite. Añade que existían medios menos intrusivos para hacerlo. Por eso califica el tratamiento de infracción muy grave del principio de licitud.
El hospital también sostuvo que la cámara enfocaba solo las colas y no las mesas. Los hechos probados dicen lo contrario: el encuadre alcanzaba parte de la zona de mesas. La resolución recuerda además el artículo 89.2 de la LOPDGDD, que prohíbe la videovigilancia en los lugares de descanso de los trabajadores, como comedores y vestuarios. No da por acreditado un uso de control laboral, pero deja claro que el espacio grabado era también el comedor del personal.
El hospital retiró la cámara el 23 de febrero de 2026, en plena fase de alegaciones. La autoridad valora el gesto, pero lo vuelve en su contra: la retirada, escribe, no hace sino confirmar que el tratamiento no era necesario.
La tercera infracción, leve, afecta a los carteles. Los de Bellvitge remitían a una dirección de correo electrónico para ampliar la información sobre el tratamiento. La APDCAT se apoya en las Directrices 3/2019 del Comité Europeo de Protección de Datos, que piden que esa segunda capa de información sea fácilmente accesible antes de entrar en la zona vigilada. Concluye que escribir un correo y esperar respuesta no cumple ese requisito. El hospital tiene un mes desde la notificación para añadir una dirección web a los carteles y diez días más para acreditarlo. Tampoco ayudó al hospital su silencio previo: no contestó a un requerimiento de julio de 2025 que pedía precisamente el contrato de encargado vigente.
Tres expedientes, tres versiones del mismo agujero
El patrón aparece al poner las tres resoluciones una junto a otra. En el caso del Institut Català del Sòl (Incasòl), resuelto el 21 de abril en el expediente PS-0017/2026, el problema no fue un contrato caducado. Fue un contrato que nunca apareció. La APDCAT lo pidió en marzo de 2025 y volvió a pedirlo en mayo y en octubre. El organismo terminó aportando dos certificados de la empresa que gestiona sus cámaras, Cosmo Seguridad SXXI. Los dos invocaban la Ley Orgánica de Protección de Datos de 1999, derogada en 2018. Uno de esos certificados enumeraba doce cámaras en la sede de la calle Còrsega de Barcelona. La novena estaba identificada como «comedor» y enfocaba las mesas donde los empleados pasan su descanso. Los carteles remitían, además, al delegado de protección de datos de otro departamento de la Generalitat y ofrecían como segunda capa un número de teléfono. La APDCAT da al Incasòl tres meses para desactivar la cámara del comedor, corregir los carteles y firmar el contrato.
En el Ayuntamiento de Terrassa, resuelto el 28 de abril en el expediente PS-0126/2025, el escenario fue una comisaría de la Policía Local. Una cámara colocada en el pasillo enfocó la puerta del vestuario masculino desde el 19 de julio hasta el 8 de octubre de 2024. La empresa con acceso a las imágenes era Aeronaval de Construcciones e Instalaciones (ACISA), que no es una empresa de seguridad. Su contrato con el ayuntamiento es el de mantenimiento de la red semafórica y de los sistemas de gestión de la movilidad, que incluía también los elementos de seguridad de la policía municipal. El propio consistorio admitió en octubre de 2025 que no tenía contrato de encargado con ella. Lo firmó el 27 de noviembre, nueve días después de que se abriera el procedimiento. Al tratarse de una comisaría, la APDCAT aplicó la Ley Orgánica 7/2021, que regula los datos tratados con fines policiales. Declaró una infracción grave por exceso de captación, una muy grave por falta de información y otra grave por incumplir el artículo 30 de esa ley, el equivalente policial del artículo 28 del RGPD.
Son, por tanto, tres variantes de un mismo fallo: un contrato que caduca mientras se vuelve a licitar el servicio, un contrato que nunca existió y un contrato de servicio que no incluye las cláusulas de protección de datos. En los tres casos, la empresa siguió viendo las imágenes como si nada hubiera cambiado.
Por qué no hay multa, y por qué una empresa privada sí la tendría
Las tres resoluciones se titulan «sancionadoras», pero ninguna impone una cantidad. El artículo 77.2 de la LOPDGDD, que la APDCAT aplica junto al artículo 21.2 de la ley catalana que la regula, establece que cuando la infractora es una administración pública la autoridad se limita a declarar la infracción y ordenar medidas correctoras. Queda expresamente excluida la multa administrativa. Las tres resoluciones se comunican al Síndic de Greuges.
Una empresa privada no tiene esa protección. El artículo 83.4 del RGPD castiga la falta de contrato de encargado con multas de hasta 10 millones de euros o el 2% de la facturación mundial anual. Las infracciones del principio de licitud y del deber de información, previstas en el artículo 83.5, elevan el techo a 20 millones o el 4%. La LOPDGDD califica la ausencia de contrato como infracción grave, que prescribe a los dos años. En Bellvitge, cuatro meses sin contrato bastaron para que la APDCAT apreciara la infracción.
Qué debe revisar quien externaliza la videovigilancia
La lectura conjunta de los tres expedientes deja varias comprobaciones que cualquier hospital, ayuntamiento, empresa o comunidad con cámaras gestionadas por terceros puede hacer esta misma semana. La primera es pedir el contrato de encargado y comprobar las fechas. Que el servicio continúe no significa que el contrato siga vigente, y el periodo entre una adjudicación y la siguiente es justo donde falló Bellvitge. La segunda es no confundir un contrato de mantenimiento ni un certificado de la empresa de seguridad con un encargo de tratamiento. Si el documento no recoge las instrucciones, la confidencialidad, las medidas de seguridad y el régimen de subcontratación, no cumple el artículo 28. La tercera es repasar cámara por cámara para qué sirve cada una: si la respuesta no es la seguridad, sobra. Ninguna debe apuntar a comedores, vestuarios ni aseos. La cuarta afecta a los carteles: tienen que identificar al responsable y a su delegado correctos, verse antes de entrar en el campo de grabación y remitir a una dirección web, no a un correo ni a un teléfono.
Las empresas de seguridad también tienen algo que revisar. Operar sin contrato significa vigilar sin instrucciones documentadas, y el RGPD reparte obligaciones entre responsable y encargado. Ninguna de estas tres resoluciones se dirige contra la empresa contratada. Pero el expediente que exija también ese documento al encargado está por llegar.
Bellvitge tiene ahora un mes para cambiar sus carteles. Contra las tres resoluciones cabe recurso potestativo de reposición en un mes o recurso contencioso-administrativo en dos. La pregunta que dejan abierta va más allá de Cataluña: cuántos contratos públicos de vigilancia están ahora mismo prorrogados, pendientes de adjudicar o en el hueco entre dos licitaciones, sin que nadie haya comprobado si el contrato de encargado sigue vigente.
