Restaurante español multado por cámaras de vigilancia en terraza por violar privacidad de comensales y falta de información

La Agencia Española de Protección de Datos (AEPD) impuso una multa total de 1.000 euros a un restaurante tras constatar que el sistema de videovigilancia instalado en el local vulneraba el Reglamento General de Protección de Datos (RGPD), especialmente en lo relativo a las cámaras colocadas en la terraza exterior.

La investigación se inició tras dos reclamaciones presentadas por trabajadores del establecimiento, quienes denunciaron la instalación de cámaras que consideraban “inadecuadas y desproporcionadas”, y que además no estaban “debidamente señalizadas”, ni mediante carteles visibles ni mediante información interna a la plantilla.

Las quejas llegaron acompañadas de fotografías que mostraban “al menos cuatro cámaras en la terraza exterior, orientadas hacia la zona de mesas de los comensales”, así como varias cámaras interiores enfocadas hacia la barra y la caja registradora.

La AEPD dividió su análisis en dos apartados: cámaras internas y externas. Respecto de las primeras, concluyó que, por su altura y orientación, cumplían la función legítima de videovigilancia y no vulneraban el RGPD.

Muy distinto fue el criterio aplicado a las cámaras exteriores. La Agencia advirtió que “por su posición, son susceptibles de captar directamente la zona de mesas de los comensales”, lo que afecta de manera directa a datos personales de clientes en un entorno donde “pueden permanecer largo tiempo” y en una situación especialmente sensible para su derecho fundamental a la protección de datos, su intimidad y el libre desarrollo de la personalidad.

La AEPD descartó que esta vigilancia pudiera justificarse por motivos de seguridad, como ocurre con las cámaras que apuntan a la caja, y concluyó que las cámaras en la terraza no cumplían con el principio de minimización, configurando una vulneración del RGPD. Esto dio lugar a una primera sanción de 500 euros.

El organismo también analizó la ausencia total de cartelería informativa en el interior y exterior del local y la falta de comunicación sobre el tratamiento de datos tanto a clientes como a empleados. Aunque no se acreditó que el sistema se utilizara para control laboral —por lo que no procedía exigir información previa específica a la plantilla—, sí era obligatorio informar sobre la existencia del tratamiento conforme al artículo 13 del RGPD. La ausencia de cualquier aviso llevó a una segunda sanción de 500 euros.