西班牙数据保护局《第AI-00171-2026号警示——关于某市议会「市民安全视频监控系统」采购中包含AI视频分析、外貌检索与元数据留存功能》（Advertencia AI-00171-2026，案卷号 EXP202621933，2026年10月6日）

1/7 Ref.: EXP202621933 Asunto: Advertencia PRIMERO. - Examinada la documentación correspondiente al expediente de contratación CONT-059/2025, Ref. 34741/2025, promovido por el ***AYUNTAMIENTO A.A.A., relativo al suministro, instalación, integración, puesta en marcha y mantenimiento de un sistema de videovigilancia de seguridad ciudadana en el término municipal de (…), se han identificado por la Agencia Española de Protección de Datos (AEPD) determinadas previsiones que ponen de manifiesto la realización prevista de tratamientos de datos personales mediante funcionalidades de inteligencia artificial. El Pliego de Prescripciones Técnicas (PPT), fechado el 14 de agosto de 2026, prevé la instalación de 38 nuevas cámaras, la integración en la plataforma centralizada VMS de 124 cámaras existentes y destina el sistema, entre otros fines, a la vigilancia preventiva y reactiva del espacio público, al apoyo operativo a la Policía Local, a la investigación y revisión diferida de incidentes y a la obtención de evidencias con validez probatoria. Se incluye la infraestructura de grabación, almacenamiento y alta disponibilidad; Video Wall en el Centro de Control y comunicaciones y 4 puestos de visualización ubicados en “el control de accesos de central”, “depósito de detenidos”, “Ayuntamiento” y “retén del (…)”. El sistema se diseña además para admitir futuras ampliaciones de dispositivos, licencias, funcionalidades y módulos. En particular, resultan relevantes las siguientes características:  El apartado 6.1.4, página 23, establece que el VMS podrá incorporar cámaras con analítica de vídeo que detecten personas y vehículos mediante inteligencia artificial, con procesador de IA dedicado en la propia cámara. Los metadatos derivados de la clasificación se transmiten sincronizados con el vídeo al VMS y pueden explotarse en tiempo real o en modo forense. El propio PPT especifica que las cámaras analizarán el 100 % de la escena el 100 % del tiempo, aunque no exista un evento previamente configurado.  El apartado 6.1.6, página 24, incorpora una tecnología de «búsqueda por apariencia» que permite buscar a una persona por su descripción física, incluyendo color de ropa, color del pelo, sexo y grupo de edad, y localizarla en las grabaciones procedentes de múltiples cámaras. La búsqueda puede iniciarse seleccionando la persona en una grabación o importando una imagen o fotografía de la persona que se pretende buscar.  El apartado 6.3.4, páginas 31 y 32, prevé que la información generada por la analítica sea almacenada como metadatos susceptibles de explotación posterior, incluyendo la clasificación de personas y vehículos y características vinculadas a su apariencia; las cámaras deberán integrarse con el VMS manteniendo sus capacidades analíticas, metadatos, eventos y funciones de búsqueda. Estas previsiones acreditan la realización prevista de un tratamiento automatizado e individualizado de imágenes de personas mediante inteligencia artificial. La documentación examinada no permite afirmar que se vaya a realizar reconocimiento facial ni tratamiento de datos biométricos dirigido a la identificación unívoca, pero tampoco permite conocer qué representación técnica genera el sistema para localizar Paseo de la Castellana, 141, Planta 9 www.aepd.es 28046 - Madrid sedeaepd.gob.es 2/7 a una persona en múltiples cámaras a partir de una fotografía o de sus características físicas, ni si se utilizan vectores, embeddings, plantillas u otros identificadores persistentes. Debe diferenciarse, en función de la finalidad concreta de cada operación de tratamiento, entre aquellas sometidas al Reglamento (UE) 2016/679, de 27 de abril de 2016, General de Protección de Datos (RGPD), y aquellas que, por ser realizadas por una autoridad competente para la prevención, detección, investigación o enjuiciamiento de infracciones penales o para la protección y prevención frente a amenazas contra la seguridad pública, queden sometidas a la Ley Orgánica 7/2021, de 26 de mayo. SEGUNDO. - El artículo 55.1 del RGPD dispone que “ cada autoridad de control será competente para desempeñar las funciones que se le asignen y ejercer los poderes que se le confieran de conformidad con el presente Reglamento en el territorio de su Estado miembro”. El art. 58.2 del RGPD establece que cada autoridad de control dispondrá de todos poderes correctivos indicados a continuación, y entre ellos el recogido en su letra a) de dirigir a todo responsable o encargado del tratamiento una advertencia cuando las operaciones de tratamiento previstas puedan infringir lo dispuesto en dicho Reglamento. De acuerdo con el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo, LOPDGDD) corresponde a la AEPD, entre otras facultades, ejercer las potestades previstas en el artículo 58 del RGPD. De la misma forma, los artículos 48 y 50 de la Ley Orgánica 7/2021 atribuyen a la AEPD, como autoridad de protección de datos independiente, entre otras, la potestad de advertencia y control de lo exigido en esa Ley Orgánica. TERCERO. - Por otra parte, tal y como resulta de jurisprudencia constante del Tribunal de Justicia de la Unión Europea, el objetivo del RGPD (véase, por ejemplo, apartado 53 de la Sentencia del Tribunal de Justicia (Sala Cuarta), de 7 de marzo de 2024, C- 604/22, consiste en “ garantizar un nivel elevado de protección de los derechos y libertades fundamentales de las personas físicas, sobre todo de su derecho a la vida privada respecto del tratamiento de los datos personales, consagrado en el artículo 8, apartado 1, de la Carta y en el artículo 16 TFUE, apartado 1 [sentencia de 4 de mayo de 2023, Bundesrepublik Deutschland (Buzón electrónico judicial), C -60/22, EU:C:2023:373, apartado 64].” Por ello, las facultades y poderes correctivos de las autoridades de control habrán de interpretarse de una manera amplia. Véase por analogía, apartado 37 de la sentencia del Tribunal de Justicia, de 26 de septiembre de 2024, C-768/21. CUARTO. - Por otro lado, no hay que olvidar que dentro de las facultades que configura el RGPD para las autoridades de control existe también una labor “cautelar” o “preventiva”. Así, por ejemplo, el apartado 188 de las Conclusiones del Abogado General Sr. Dean Spielmann, de 23 de septiembre de 2025, en el Asunto C-474/24 dice: Paseo de la Castellana, 141, Planta 9 www.aepd.es 28046 - Madrid sedeaepd.gob.es 3/7 188. (…) el artículo 58, apartado 2, del mencionado Reglamento enumera los diferentes poderes correctivos de que dispone la autoridad de control, que cuenta, a este respecto, con un margen de apreciación en lo que atañe a la elección de los medios adecuados y necesarios. (112) Entre los poderes de la autoridad de control establecidos en el artículo 58, apartado 2, letra a), del RGPD, esta puede dirigir una «advertencia» a todo responsable del tratamiento cuando las operaciones de tratamiento «previstas» «puedan» infringir lo dispuesto en el RGPD, lo que se inscribe en un enfoque que cabe calificar de «cautelar» respecto de los derechos del interesado. (113) QUINTO.- Por lo demás, esa facultad cautelar o preventiva que el RGPD otorga a las autoridades de control está expresada en términos amplios en el art. 58.2.a) RGPD, de manera que esta norma ha otorgado a las autoridades de control la facultad de dirigir a todo responsable o encargado del tratamiento una advertencia, no necesariamente cuando esta haya comprobado que el tratamiento es contrario al RGPD, sino cuando las operaciones de tratamiento previstas puedan infringir lo dispuesto en el presente Reglamento. La utilización de esta expresión “puedan” se inserta dentro de dicha función cautelar o preventiva, que hay que entenderla, cuando la autoridad de control decide dirigir una advertencia, no como una realidad de que dichas operaciones efectivamente infringen el RGPD, sino de que existe la posibilidad (como contrario a certeza) de que dichas operaciones pueden infringir el Reglamento. De forma similar, la facultad cautelar o preventiva de la AEPD está expresada en el artículo 50 de la Ley Orgánica 7/2021. Por ello, en el ejercicio de esta función cautelar, la autoridad de control podrá, sobre la base de la información recibida, e incluso de la que no haya recibido, emitir una advertencia al responsable o encargado del tratamiento, acerca de la posibilidad de que dichos tratamientos de datos infrinjan el Reglamento, para que el responsable o encargado extraiga de dicha advertencia las enseñanzas o criterios apropiados y, conforme a su obligación de responsabilidad proactiva, pueda adaptar dichos tratamientos de datos al Reglamento. No cabe, por último, tampoco, excluir que la información de que disponga la autoridad de control sea incompleta, por cualquier razón. Ello no hará menos efectiva su advertencia – y por tanto el objetivo de la normativa de protección de datos de proteger a los interesados-, por cuanto el objetivo de la advertencia no es sancionar una conducta del responsable o encargado, sino advertir (esto es, llamar la atención del responsable o encargado) de que unos determinados tratamientos podrían infringir la normativa de protección de datos, sin necesidad de que exista una certeza de que dichos tratamientos la incumplen. SEXTO. – A partir de la información analizada, cabe realizar por esta Autoridad las siguientes consideraciones. La utilización de dispositivos de videovigilancia dotados de funcionalidades de inteligencia artificial en departamentos de la Administración pública, particularmente en órganos policiales, puede ofrecer oportunidades para mejorar su eficiencia, proporcionando instrumentos de apoyo que contribuyan a garantizar la seguridad. Asimismo, adecuadamente diseñadas y utilizadas, estas herramientas pueden Paseo de la Castellana, 141, Planta 9 www.aepd.es 28046 - Madrid sedeaepd.gob.es 4/7 contribuir a mejorar la eficacia y calidad de determinados tratamientos de datos y de las inferencias obtenidas a partir de ellos. La normativa de protección de datos no impide la utilización de estas tecnologías en dichos procesos, sino que exige que los tratamientos de datos personales que comporten se desarrollen con las garantías adecuadas a sus características y riesgos. Desde esta perspectiva, cabe integrar dichas garantías en el propio proceso de diseño, evaluación, selección, configuración e implantación de la herramienta. Este enfoque favorece que el desarrollo y adopción de soluciones innovadoras pueda realizarse de forma responsable, aprovechando sus posibles beneficios y preservando al mismo tiempo los derechos y libertades de las personas afectadas. Esta visión se proyecta, en particular, a través de la protección de datos desde el diseño y por defecto prevista en el artículo 25 del RGPD y en el artículo 28 de la Ley Orgánica 7/2021, que exigen integrar de manera efectiva los principios y garantías de protección de datos, tanto al determinar los medios del tratamiento, particularmente en la fase de adquisición y configuración tecnológica, como durante su ejecución. La integración de las exigencias de protección de datos desde las fases iniciales de un proyecto tecnológico permite, precisamente, identificar los riesgos asociados al tratamiento y adoptar las medidas adecuadas para gestionarlos. La gestión del riesgo constituye, por tanto, un elemento inherente al sistema de responsabilidad proactiva y debe acompañar al tratamiento durante su ciclo de vida. En aquellos supuestos en los que, atendiendo a la naturaleza, alcance, contexto o fines del tratamiento, este sea susceptible de entrañar un alto riesgo para los derechos y libertades de las personas físicas, deberá realizarse, antes del tratamiento, una evaluación de impacto relativa a la protección de datos en los términos establecidos en el artículo 35 del RGPD y en el artículo 35 de la Ley Orgánica 7/2021. En el escenario analizado se hace especialmente relevante garantizar el cumplimiento de la normativa de protección de datos, al referirse a un sistema de videovigilancia en un municipio cuyo censo supera los 80.000 habitantes. Así, antes de su puesta en servicio deberá analizarse y documentarse: la necesidad y proporcionalidad de cada funcionalidad de inteligencia artificial para la finalidad concreta perseguida; si resulta necesario tratar características como sexo, grupo de edad, pelo o vestimenta y conservar los metadatos derivados; la naturaleza de las representaciones técnicas utilizadas para la búsqueda por apariencia y localización multicámara; qué tratamiento realiza el sistema sobre la fotografía que puede utilizarse como elemento inicial de búsqueda; si cámaras, VMS o servidores incorporan funcionalidades de reconocimiento facial, face matching, person re-identification, galerías o mecanismos equivalentes, aunque estén inicialmente deshabilitados; los plazos de conservación diferenciados de imágenes, fotografías, metadatos, resultados de búsqueda y demás información derivada; y la configuración por defecto del sistema de modo que únicamente se encuentren habilitadas las funcionalidades estrictamente necesarias. El análisis comprenderá los riesgos y las medidas destinadas a afrontarlos. La evaluación de impacto deberá incluir, como mínimo, descripción de las operaciones previstas, evaluación de riesgos, medidas para afrontarlos y mecanismos destinados a garantizar la protección de los datos y demostrar la conformidad con la Ley Orgánica 7/2021. Deberán tenerse específicamente en cuenta su escala, el análisis sistemático del espacio público, la generación automatizada de metadatos, la búsqueda Paseo de la Castellana, 141, Planta 9 www.aepd.es 28046 - Madrid sedeaepd.gob.es 5/7 retrospectiva de personas, la posibilidad de aportar fotografías como elemento de búsqueda y la futura ampliabilidad tecnológica. De acuerdo con lo previsto en los artículos 6 y 11 de la Ley Orgánica 7/2021, la disponibilidad tecnológica de una función de búsqueda, identificación o seguimiento de personas no constituye por sí misma justificación suficiente para su utilización: deberá acreditarse su necesidad y proporcionalidad para una finalidad policial determinada. De conformidad con lo previsto en el artículo 10 de la Ley Orgánica 7/2021, deberá tenerse especialmente presente la obligación de distinguir, en la medida de lo posible, entre datos basados en hechos y datos basados en apreciaciones, así como la de adoptar medidas para evitar la utilización o transmisión de datos inexactos. Esta previsión resulta relevante respecto de las inferencias automatizadas de sexo, edad u otros atributos físicos y de los resultados probabilísticos obtenidos mediante búsquedas por similitud. Si del análisis técnico resultara que la búsqueda mediante fotografía, la localización multicámara u otras funcionalidades implicaran la generación o utilización de datos biométricos dirigidos a identificar de manera unívoca a una persona, el tratamiento quedaría sometido al régimen reforzado de los artículos 4.14 y 9 del RGPD y del artículo 13 de la Ley Orgánica 7/2021, que exige que el tratamiento de esta categoría de datos sea estrictamente necesario, esté sometido a garantías adecuadas para los derechos y libertades y concurra alguna de las circunstancias habilitantes previstas legalmente. Se contempla expresamente el tratamiento biométrico por autoridades competentes, dentro de sus funciones, para fines de prevención, investigación y detección de infracciones penales y protección frente a amenazas contra la seguridad pública. En tal supuesto deberán analizarse específicamente el patrón o embedding utilizado, la modalidad de comparación, las fuentes de las imágenes de referencia, los umbrales de similitud, las tasas de error y falsos positivos y la intervención humana antes de adoptar cualquier actuación policial. La instalación y utilización de sistemas de grabación deberá cumplir los requisitos de los artículos 15 y 16 de la Ley Orgánica 7/2021. En particular, para las videocámaras fijas instaladas en vías o lugares públicos , deberá efectuarse una valoración de proporcionalidad en su doble vertiente de idoneidad e intervención mínima, así como un análisis de riesgos o una evaluación de impacto atendiendo al perjuicio potencial para la ciudadanía y a la finalidad perseguida. Esta valoración no deberá circunscribirse a la mera necesidad de instalar cámaras, sino extenderse a cada capacidad adicional de IA aplicada a las imágenes, particularmente la clasificación de personas, generación de metadatos, búsqueda por atributos, utilización de fotografías de referencia y localización de una persona en múltiples cámaras. Si alguna funcionalidad del sistema llegase a utilizarse para adoptar, exclusivamente mediante tratamiento automatizado, decisiones que produzcan efectos jurídicos negativos o afecten significativamente a una persona, deberá observarse el régimen específico del artículo 14 de la Ley Orgánica 7/2021, que exige una habilitación legal expresa y garantías adecuadas, incluida la intervención humana. Paseo de la Castellana, 141, Planta 9 www.aepd.es 28046 - Madrid sedeaepd.gob.es 6/7 Cuando a la operación de tratamiento le resulte de aplicación el artículo 18 de la Ley Orgánica 7/2021, deberán respetarse las reglas específicas sobre utilización, puesta a disposición de la autoridad judicial y conservación de las grabaciones, que con carácter general deberán destruirse en el plazo máximo de tres meses desde su captación, salvo los supuestos excepcionales previstos legalmente. Deberá determinarse asimismo el régimen de conservación aplicable a los datos derivados de las imágenes, incluidos metadatos, plantillas biométricas, vectores, resultados de coincidencia o cualesquiera otros datos producidos mediante inteligencia artificial. Conforme a las obligaciones de suministro de información que, en función de la finalidad de la operación de tratamiento de videovigilancia, imponen al responsable del tratamiento los artículos 12 a 14 del RGPD (y las especialidades para el cumplimiento de estas obligaciones que la LOPDGDD establece en sus artículos 22 y 89), así como el artículo 21 de la Ley Orgánica 7/2021, las personas afectadas deberán recibir información clara, accesible y comprensible sobre el tratamiento de sus datos personales y, en particular, sobre sus finalidades y sobre la función que el sistema desempeña en el proceso, con el alcance exigible en cada caso. En virtud de todo lo expuesto, y en aplicación de los poderes que le han sido atribuidos por el artículo 58.2.a) del RGPD y el artículo 50 de la Ley Orgánica 7/2021, esta Agencia procede a dirigir la siguiente ADVERTENCIA al ***AYUNTAMIENTO A.A.A.:  En el proceso de evaluación e implantación de sistemas de videovigilancia con funcionalidades de inteligencia artificial, el responsable de tratamiento deberá cumplir con sus obligaciones de protección de datos desde el diseño y por defecto y adoptar, de conformidad con los artículos 24 y 25 del RGPD y los artículos 27 y 28 de la Ley Orgánica 7/2021, las medidas técnicas y organizativas apropiadas para garantizar y poder demostrar que el tratamiento es conforme con la normativa de protección de datos personales.  En particular, deberá evaluar los riesgos que el tratamiento pueda comportar para los derechos y libertades de las personas afectadas: usuarios, trabajadores y terceros, cuando el tratamiento sea susceptible de entrañar un alto riesgo en los términos previstos en el artículo 35 del RGPD y en el artículo 35 de la Ley Orgánica 7/2021, realizar, antes del tratamiento, la correspondiente evaluación de impacto relativa a la protección de datos.  Deberá garantizarse el cumplimiento del principio de transparencia respecto de las personas afectadas, en particular, aunque no de manera exclusiva, el suministro de información previsto en el artículo 13 RGPD y en el artículo 21 de la Ley Orgánica 7/2021.  Aquellas operaciones que sean realizadas por la Policía Local para los fines comprendidos en la Ley Orgánica 7/2021 deberán ajustarse específicamente, en particular, a los artículos 6, 10, 11, 13, 14, 15, 16 y 18, debiendo valorarse antes de su implantación efectiva la licitud, estricta necesidad, idoneidad, proporcionalidad e intervención mínima de las funcionalidades de inteligencia artificial y las garantías necesarias. Finalmente, se procede a señalar que, en el supuesto de no adoptar las medidas que, en su caso, fueran necesarias para adecuar su actuación a lo legalmente establecido, Paseo de la Castellana, 141, Planta 9 www.aepd.es 28046 - Madrid sedeaepd.gob.es 7/7 podría incurrir en una infracción en el ámbito competencial de esta Agencia, que podría dar lugar al inicio de actuaciones previas de investigación y/o actuaciones correctivas, incluyendo las sancionadoras. 290-030320 Lorenzo Cotino Hueso Presidente de la Agencia Española de Protección de Datos Paseo de la Castellana, 141, Planta 9 www.aepd.es 28046 - Madrid sedeaepd.gob.es