Circular 1/2026 de l’APDCAT sobre videovigilància: què han de fer les administracions i entitats públiques

El passat 19 d’octubre de 2026, l’APDCAT va publicar al Diari Oficial de la Generalitat de Catalunya la Circular 1/2026 de l’Autoritat Catalana de Protecció de Dades, la qual actualitza la regulació de les càmeres a Catalunya i l’adapta al RGPD i a la LOPDGDD. Aquesta circular entra en vigor el 8 de novembre de 2026 i és d’obligat compliment per a les administracions catalanes, els ens locals, les entitats del sector públic i determinades entitats privades.

A quins tractaments s’aplica la Circular de videovigilància de l’APDCAT

S’aplica al tractament d’imatges i, si escau, de veu amb finalitats de vigilància o control, mitjançant càmeres fixes o mòbils, drons i dispositius instal·lats en vehicles o indumentària, encara que les imatges només es visualitzin en temps real. La videovigilància de les forces i cossos de seguretat es regeix per la seva normativa específica, amb aplicació supletòria de la Circular en els supòsits que aquesta preveu.

Les claus de la Circular videovigilància APDCAT

• Memòria justificativa. Abans de posar en marxa el sistema cal justificar-ne la base jurídica, la finalitat, la necessitat i la proporcionalitat, i valorar alternatives menys intrusives. Si el tractament implica una observació sistemàtica a gran escala o un alt risc, cal una avaluació d’impacte (AIPD), que substitueix la memòria.
• Registre d’activitats de tractament. Cal incloure-hi la videovigilància, encara que no s’enregistrin imatges.
• Cartells informatius. Han de ser visibles abans d’entrar a la zona videovigilada. Els cartells conformes a la Instrucció 1/2009 es poden mantenir fins al seu recanvi per manteniment ordinari, però els nous tractaments han d’utilitzar el model de la Circular.
• Captació i conservació limitades. El camp de visió, els horaris i les funcionalitats s’han d’ajustar al que sigui necessari. La gravació de veu és excepcional. Les gravacions s’han de suprimir, com a màxim, en un mes, llevat de les excepcions previstes.
• Seguretat i proveïdors. Perfils d’accés autoritzats, registre d’accessos, xifrat i formació del personal. Els proveïdors que accedeixin a les imatges, incloses les empreses de seguretat privada, requereixen un contracte de tractament de dades.
• Drets de les persones. Cal un procediment per atendre’ls, i s’ha de respondre encara que les imatges no s’hagin gravat o ja s’hagin suprimit.
• Intel·ligència artificial i reconeixement facial. Cal complir el Reglament (UE) 2024/1689. El reconeixement facial és un tractament de dades biomètriques i requereix una base jurídica i una de les excepcions de l’article 9.2 del RGPD.

Com adaptar-se a la Circular de videovigilància de l’APDCAT: accions recomanades

1. Inventariar tots els sistemes, també els que només visualitzen en temps real.
2. Revisar o elaborar la memòria i determinar si cal una AIPD.
3. Actualitzar el registre d’activitats de tractament.
4. Revisar cartells i informació a la ciutadania i al personal.
5. Revisar terminis de conservació, accessos, mesures de seguretat i procediment de drets.
6. Revisar els contractes amb empreses de seguretat, instal·ladors i altres proveïdors.
7. Analitzar qualsevol funcionalitat d’àudio, reconeixement facial o IA abans d’activar-la.