Videovigilancia y Ley 21.719: cómo usar cámaras de seguridad sin infringir la protección de datos

La videovigilancia se volvió parte del paisaje: cámaras en la entrada del edificio, en la sala de ventas del retail, en la bodega, en los pasillos de la oficina. El problema es que casi nadie las trata como lo que legalmente son. Cada vez que una cámara capta a una persona que puede ser reconocida, tu empresa está tratando datos personales, y con la Ley 21.719 eso deja de ser un detalle técnico para convertirse en una obligación fiscalizable. Si quieres el panorama completo, parte por nuestra guía sobre la ley de protección de datos en Chile.

La nueva ley actualiza el marco chileno de protección de datos que antes regía únicamente la Ley 19.628, se publicó en diciembre de 2024 y alcanza su vigencia plena en diciembre de 2026, tras un periodo de transición. Además crea la Agencia de Protección de Datos Personales, una autoridad con facultades de fiscalización y sanción. Para quien opera cámaras, el mensaje es claro: la imagen de una persona identificable es un dato, y hay que justificar por qué se captura, informarlo, limitarlo y guardarlo solo el tiempo necesario.

En esta guía te explicamos, en términos prácticos y honestos, cómo encuadrar tu videovigilancia dentro de la Ley 21.719: qué base de licitud aplica, cómo funcionan la proporcionalidad y la minimización, qué exige el deber de información, cuánto tiempo puedes conservar las grabaciones, dónde no debes grabar nunca, y cómo manejar el acceso de terceros y las solicitudes de las personas grabadas. No prometemos cumplimiento garantizado, pero sí un camino claro para dejar de improvisar.

Por qué una cámara trata datos personales (y cuándo pasa a datos sensibles)

El punto de partida es entender que la imagen de una persona que puede ser identificada, directa o indirectamente, es un dato personal. No importa si la grabación es en vivo o queda almacenada, ni si la persona es un cliente, un trabajador o alguien que solo pasaba por la vereda. Si de esa imagen se puede reconocer a un individuo, tu sistema de CCTV es un tratamiento de datos personales y queda sujeto a los principios de la Ley 21.719: licitud y lealtad, finalidad, proporcionalidad, calidad, responsabilidad, seguridad, transparencia e información, y confidencialidad.

Hay un salto de categoría que muchas empresas no ven venir. Una cámara común capta imágenes; un sistema de reconocimiento facial extrae rasgos biométricos para identificar o verificar a una persona. Esos datos biométricos son datos sensibles bajo la ley chilena, en la misma familia que la salud, el origen racial o étnico, las creencias o convicciones y la situación socioeconómica. Tratar datos sensibles exige un estándar de protección mucho más exigente y una justificación mucho más fuerte.

En la práctica, esto significa que instalar cámaras para seguridad es una cosa, y activar analítica biométrica o reconocimiento facial es otra muy distinta. Lo segundo no debería hacerse de forma automática ni por moda: requiere una evaluación cuidadosa, una base legal sólida y, en muchos casos, revisar si el objetivo puede lograrse con medios menos invasivos.

• Dato personal: cualquier imagen de la que se pueda identificar a una persona.
• Dato sensible: los rasgos biométricos que usa el reconocimiento facial para identificar o verificar.
• Regla práctica: a mayor capacidad de identificar de forma única, mayor es la exigencia legal.

Base de licitud: cuándo basta el interés legítimo y cuándo no

Uno de los mitos más extendidos es que para grabar necesitas siempre el consentimiento de las personas. La Ley 21.719 reconoce el consentimiento como una base de licitud, pero no como la única. Existen otras bases que pueden habilitar el tratamiento, como el cumplimiento de una obligación legal, la ejecución de un contrato o relación en que el titular es parte, y el interés legítimo del responsable, siempre que se pondere frente a los derechos y libertades de las personas afectadas.

Para la videovigilancia orientada a seguridad de personas y bienes, la base que suele encajar mejor es el interés legítimo. La protección de un local, de un edificio o de los trabajadores es un objetivo legítimo, pero invocar esa base no es una carta blanca: obliga a hacer una ponderación real. Debes preguntarte si la cámara es necesaria para ese fin, si no hay una vía menos intrusiva, y si el impacto en la privacidad de las personas es razonable frente al beneficio de seguridad. Esa evaluación conviene dejarla documentada, porque el principio de responsabilidad exige poder demostrar que tomaste la decisión de forma diligente. Con todo, la ley no designa una base única para las cámaras: más que una regla automática, el interés legítimo es el criterio que en la práctica suele encajar, y debes fundamentarlo y documentarlo caso a caso.

El consentimiento, en cambio, es frágil en contextos donde no hay libertad real de negarse, como la relación laboral: pedir a un trabajador que consienta ser grabado difícilmente puede considerarse un consentimiento plenamente libre, porque existe una relación de dependencia. Por eso, en el ámbito de RR.HH. y en espacios abiertos al público, apoyarse en el interés legítimo bien ponderado, y no en un consentimiento forzado, suele ser el enfoque correcto. El reconocimiento facial, al tratar datos sensibles, exige una justificación aún más robusta y no debería descansar en una interpretación laxa del interés legítimo.

Proporcionalidad y minimización: grabar lo justo, no todo lo posible

La proporcionalidad y la minimización son, probablemente, los principios que más se incumplen en la práctica. Minimizar significa tratar solo los datos que realmente necesitas para tu finalidad, ni uno más. Aplicado a cámaras, se traduce en decisiones concretas de diseño: dónde apuntas cada lente, qué ángulo cubre, si captas audio (que casi nunca es necesario y agrava la intrusión) y si la resolución o la analítica que usas son proporcionales al riesgo que quieres controlar.

Un error frecuente es cubrir más de lo necesario. Una cámara pensada para vigilar la caja del local no debería enfocar la vereda completa ni la entrada del negocio vecino; una cámara de una bodega no debería apuntar de forma permanente al puesto de trabajo de un empleado para controlar su rendimiento, porque esa ya no es una finalidad de seguridad. Cada cámara debe tener una finalidad definida y honesta, y su alcance debe ajustarse a esa finalidad.

La minimización también se aplica en el tiempo y en el acceso. No todo el personal necesita ver las grabaciones, y no todas las imágenes deben conservarse indefinidamente. Cuanto más acotas quién accede, para qué, y por cuánto tiempo, más fácil es sostener que tu sistema es proporcional.

• Define la finalidad de cada cámara antes de instalarla, no después.
• Ajusta el encuadre para no captar espacios ajenos ni la vía pública sin necesidad.
• Evita el audio salvo que exista una justificación clara e imprescindible.
• Reserva la analítica avanzada y el reconocimiento facial solo para casos con justificación sólida.

Deber de información: la señalética visible no es opcional

El principio de transparencia e información obliga a que las personas sepan que están siendo grabadas antes de entrar en la zona vigilada. En videovigilancia, esto se materializa en la señalética: carteles claros y visibles, ubicados en los accesos y en puntos donde cualquiera pueda advertirlos sin esfuerzo. Una cámara oculta o sin aviso es, en la práctica, un tratamiento desleal.

El cartel es solo la primera capa de información. Debe indicar de forma resumida que la zona está videovigilada, quién es el responsable del tratamiento y cómo obtener más información. La segunda capa, más detallada, puede vivir en tu política de privacidad o en un documento disponible a pedido, donde expliques la finalidad de las cámaras, la base de licitud, el plazo de conservación, si las imágenes se comparten con terceros y cómo ejercer los derechos ARSOP (acceso, rectificación, supresión, oposición y portabilidad, además del bloqueo).

En el mundo laboral, el deber de información es todavía más estricto: los trabajadores deben conocer con claridad dónde hay cámaras, con qué finalidad y con qué alcance. Informar bien no es solo un requisito legal; también reduce conflictos y refuerza la confianza dentro de la organización.

• Cartel visible en cada acceso a la zona videovigilada.
• Información básica: zona vigilada, responsable y cómo saber más.
• Información ampliada disponible: finalidad, base de licitud, conservación, terceros y ejercicio de derechos.
• En espacios de trabajo, comunica a los trabajadores antes de activar las cámaras.

Conservación de grabaciones, zonas prohibidas y acceso de terceros

Las grabaciones no deben guardarse para siempre. El principio de finalidad y el de proporcionalidad exigen conservarlas solo el tiempo razonablemente necesario para cumplir el propósito de seguridad. La ley chilena no fija un número de días en esta materia, así que la clave es definir un plazo prudente y acotado, documentarlo y respetarlo: pasado ese periodo, las imágenes deberían eliminarse, idealmente de forma automática, salvo que exista un incidente concreto que justifique conservar una grabación puntual como evidencia.

Hay lugares donde simplemente no se debe grabar, porque la expectativa de privacidad es tan alta que ninguna finalidad de seguridad la justifica: baños, camarines, vestuarios, salas de lactancia y zonas de descanso destinadas a la intimidad. Instalar cámaras allí es desproporcionado por definición. Tampoco corresponde vigilar de forma encubierta a los trabajadores en sus puestos con el fin de controlar su desempeño; el foco legítimo de la videovigilancia es la seguridad, no el control laboral permanente.

El acceso de terceros también debe manejarse con criterio. Entregar imágenes a un proveedor de seguridad, a la policía o a un tercero requiere una base que lo justifique y, cuando corresponde, un encargo de tratamiento que fije las condiciones y responsabilidades. Y si ocurre una vulneración de las medidas de seguridad que provoque destrucción, filtración, pérdida o alteración de las grabaciones, el responsable debe notificar a la Agencia sin dilaciones indebidas y por el medio más expedito, además de comunicar a las personas afectadas cuando el incidente pueda afectar sus derechos, con especial cuidado si hay datos sensibles involucrados.

• Define y documenta un plazo de conservación acotado, con borrado idealmente automático al vencer.
• Nunca instales cámaras en baños, camarines, vestuarios ni zonas de descanso.
• No uses la videovigilancia como herramienta de control encubierto del rendimiento laboral.
• Regula el acceso de terceros con un encargo de tratamiento y una base que lo justifique.

Checklist para poner tu videovigilancia en regla

Si tienes cámaras funcionando y no estás seguro de si cumplen, no necesitas empezar de cero: necesitas ordenar. La mayoría de los problemas se resuelven revisando finalidad, información, conservación y accesos, y dejando todo documentado para poder demostrarlo ante la Agencia. El principio de responsabilidad no solo pide que hagas las cosas bien, sino que puedas probarlo.

Usa esta lista como punto de partida para un diagnóstico interno. No sustituye una revisión profesional, pero te ayuda a detectar los vacíos más comunes antes de que se conviertan en un riesgo.

Recuerda que la vigencia plena de la ley llega en diciembre de 2026: el tiempo de transición es justamente para ordenar estos sistemas con calma, no para dejarlos para el final.

• Inventaría todas las cámaras y define, por escrito, la finalidad de cada una.
• Verifica el encuadre: que ninguna capte vía pública, propiedades vecinas ni zonas prohibidas.
• Determina la base de licitud (habitualmente interés legítimo) y documenta la ponderación.
• Instala señalética visible en todos los accesos a zonas videovigiladas.
• Publica la información ampliada en tu política de privacidad y comunícala a los trabajadores.
• Fija un plazo de conservación razonable con eliminación, idealmente automática, al vencer.
• Restringe quién accede a las grabaciones y deja registro de esos accesos.
• Formaliza con encargos de tratamiento a los terceros que operan o acceden al sistema.
• Evalúa con especial rigor cualquier uso de reconocimiento facial: es dato sensible.
• Prepara un procedimiento para responder solicitudes de las personas grabadas y notificar brechas.

Preguntas frecuentes

¿Necesito el consentimiento de las personas para tener cámaras de seguridad?

No siempre. El consentimiento es una de las bases de licitud, pero no la única. Para videovigilancia orientada a la seguridad de personas y bienes, la base que suele aplicar es el interés legítimo del responsable, siempre que se pondere frente a los derechos de las personas afectadas y se cumpla con informar, minimizar y ser proporcional. En contextos laborales, un consentimiento forzado rara vez es válido, por lo que es preferible apoyarse en el interés legítimo bien justificado.

¿Cuánto tiempo puedo conservar las grabaciones de mis cámaras?

La ley chilena no fija un número de días para esta materia. El criterio es conservar las imágenes solo el tiempo razonablemente necesario para la finalidad de seguridad, y luego eliminarlas. En la práctica, conviene definir un plazo prudente y acotado, dejarlo documentado y programar un borrado, idealmente automático, al vencer, salvo que un incidente concreto justifique conservar una grabación puntual como evidencia.

¿El reconocimiento facial es legal bajo la Ley 21.719?

El reconocimiento facial trata datos biométricos, que en Chile son datos sensibles. Esto no lo prohíbe de plano, pero eleva mucho el estándar: exige una justificación sólida, una base legal clara y una evaluación seria de si el objetivo puede lograrse con medios menos invasivos. No debería activarse de forma automática ni descansar en una interpretación laxa del interés legítimo. Ante la duda, lo prudente es no usarlo hasta contar con asesoría especializada.

¿Qué debe decir el cartel de videovigilancia?

Como primera capa de información, el cartel debe ser visible en los accesos e indicar que la zona está videovigilada, quién es el responsable del tratamiento y cómo obtener más información. La segunda capa, más detallada, vive en tu política de privacidad o en un documento disponible a pedido, e incluye la finalidad, la base de licitud, el plazo de conservación, si las imágenes se comparten con terceros y cómo ejercer los derechos ARSOP.

¿Una persona grabada puede pedirme acceso a las imágenes donde aparece?

Sí. La ley reconoce los derechos ARSOP, que incluyen el acceso. Una persona puede solicitar información sobre el tratamiento de su imagen y, según el caso, acceder a las grabaciones donde aparece, con las limitaciones que corresponda para proteger los derechos de terceros que también salgan en el video. Conviene tener un procedimiento definido para recibir y responder estas solicitudes en plazos razonables y dejar registro de la gestión.

¿Qué pasa si me roban o filtran las grabaciones de las cámaras?

Eso constituye una vulneración de las medidas de seguridad. El responsable debe notificar a la Agencia de Protección de Datos Personales sin dilaciones indebidas y por el medio más expedito posible, y comunicar a las personas afectadas cuando el incidente pueda afectar sus derechos, con especial cuidado si hay datos sensibles involucrados. Por eso es clave tener medidas de seguridad y un plan de respuesta a incidentes antes de que ocurra el problema.