Videovigilancia en consultas médicas y clínicas: guía práctica del RGPD para recepción y personal administrativo

La anonimización de datos visuales consiste en preparar fotografías y grabaciones de vídeo de manera que las personas que aparecen en la imagen no puedan ser identificadas sin un esfuerzo desproporcionado. En la práctica de una clínica o consulta médica, esto suele significar el difuminado de rostros y, en algunos casos, también el difuminado de matrículas si el material muestra el aparcamiento o la zona de acceso de vehículos. Para recepción y para el personal administrativo, no se trata solo de una cuestión técnica. Es una parte de la organización diaria del trabajo en torno a la videovigilancia en la sala de espera, en el mostrador de recepción y, a veces, en la entrada de las consultas.

En un centro sanitario, las imágenes de videovigilancia contienen muy a menudo datos personales. El simple rostro de un paciente, de un acompañante o de un miembro del personal suele permitir la identificación. Por eso, la publicación de una foto o la cesión de una grabación exige una evaluación independiente de la finalidad, el alcance y la forma de proteger el material conforme a los principios del RGPD [1]. Este enfoque operativo es más importante que la afirmación genérica de que la videovigilancia existe “por seguridad”.

Videovigilancia en una clínica y RGPD: qué está permitido en la sala de espera, en recepción y en la entrada de la consulta

El modelo más habitual en los centros médicos es bastante similar. La cámara cubre la entrada, la sala de espera, el pasillo o el puesto de recepción. Esta videovigilancia suele justificarse por la seguridad de los pacientes, la protección de bienes o la necesidad de aclarar un incidente. Sin embargo, el hecho de que la videovigilancia funcione legalmente como herramienta organizativa no significa que la grabación pueda mostrarse libremente a terceros o publicarse.

En la práctica, conviene distinguir tres situaciones. En primer lugar, la grabación continua de imágenes con fines de seguridad. En segundo lugar, la revisión de la grabación tras un incidente. En tercer lugar, la entrega del material a un paciente, a la policía, a un representante legal o la publicación de un fragmento. Cada uno de estos pasos requiere una evaluación separada de la minimización de datos y del riesgo de vulneración de la privacidad [1][2].

En la sala de espera, el riesgo suele ser alto, ya que en un mismo encuadre pueden aparecer muchas personas. En recepción, el problema es aún más práctico, porque la cámara puede captar rostros, el comportamiento del paciente y la imagen del puesto de trabajo. En las inmediaciones de la consulta, hay que actuar con especial cautela, ya que el propio contexto del lugar puede revelar información sobre el estado de salud o el tipo de asistencia recibida. Precisamente por eso, muchas organizaciones adoptan un enfoque prudente: si el material va a salir del circuito interno de gestión de incidentes, deben difuminarse los rostros de todas las personas distintas del destinatario autorizado.

Cómo señalizar la videovigilancia en un centro médico

La señalización de la videovigilancia no debería limitarse al simple icono de una cámara. La práctica habitual en materia de compliance exige una información breve en la entrada y una cláusula informativa ampliada, fácilmente accesible para el paciente, por ejemplo en recepción o en la web del centro. Desde una perspectiva operativa, el personal de recepción debería saber responder al menos a cuatro preguntas: quién es el responsable del tratamiento, cuál es la finalidad de la videovigilancia, qué áreas cubren las cámaras y durante cuánto tiempo se conservan las grabaciones [1].

En un centro sanitario, la señalización también tiene una importancia práctica. Un paciente que sabe que la cámara cubre la sala de espera se sorprenderá menos al conocer la existencia de una grabación, y el personal podrá tramitar más fácilmente una solicitud posterior de acceso al material. Esto no exime de la obligación de limitar el campo de visión de la cámara. Si la cámara de recepción cubre más espacio del necesario, un simple cartel no resuelve el problema del exceso de captación.

Cuándo es necesario anonimizar los rostros en fotos y grabaciones

La imagen de una persona en una clínica o consulta médica requiere, por regla general, protección. En la práctica, la necesidad de anonimizar los rostros antes de publicar o compartir más ampliamente el material puede derivarse tanto del RGPD como de la protección de los derechos de la personalidad y de las normas sobre difusión de la propia imagen en el marco del Código Civil y de la legislación sobre propiedad intelectual. En este último ámbito, existen excepciones a la exigencia de autorización para la difusión de la imagen, entre ellas cuando se trata de una persona conocida públicamente captada en relación con el ejercicio de funciones públicas, cuando la persona ha recibido la remuneración pactada por posar, o cuando la imagen constituye únicamente un detalle accesorio de un conjunto como una reunión, un paisaje o un evento público.

En el contexto de una clínica o consulta, estas excepciones suelen tener una aplicación limitada. Un paciente en la sala de espera no forma parte de un evento público. Una persona en recepción normalmente no aparece como personaje público en el ejercicio de funciones públicas. La remuneración por el uso de la imagen también es un supuesto poco frecuente. Por eso, desde el punto de vista organizativo, lo más seguro en el material procedente de un centro sanitario es partir de la base de que el rostro visible en una fotografía o grabación debe difuminarse antes de su publicación, salvo que exista una base jurídica sólida para revelar esa imagen.

Si la finalidad es entregar una grabación al paciente tras un incidente, los centros suelen aplicar el principio de acceso selectivo. Esto significa preparar una copia con los rostros difuminados de las demás personas que aparecen en el encuadre, de modo que quien presenta la solicitud no reciba más datos de los estrictamente necesarios [1][2].

Matrículas cerca de la clínica: ¿hay que difuminarlas?

El difuminado de matrículas sigue siendo un ámbito menos claro que el difuminado de rostros. Por un lado, un enfoque prudente puede estar justificado por la práctica de las autoridades de protección de datos y por la jurisprudencia europea, especialmente cuando el número de matrícula puede vincularse fácilmente con una persona concreta. Por otro lado, en la jurisprudencia se han dado resoluciones que indican que una matrícula, por sí sola, no siempre constituye un dato personal. Sin embargo, no puede asumirse categóricamente que las matrículas nunca sean datos personales.

Para una clínica, la conclusión práctica es sencilla. Si una grabación exterior va a ser compartida con terceros o publicada, conviene valorar el difuminado de las matrículas, especialmente cuando el material pueda vincularse a la visita a un centro médico concreto. En ese contexto, el riesgo de identificación aumenta.

Cómo gestionar una solicitud de un paciente para acceder a una grabación de videovigilancia

El personal de recepción no necesita una teoría extensa, pero sí un procedimiento. En la mayoría de los casos funcionan bien cinco pasos:

• determinar la fecha, la hora y el lugar del incidente,
• confirmar si la grabación sigue existiendo dentro del periodo de conservación,
• evaluar si en el material aparecen otras personas,
• preparar una copia de trabajo con anonimización de los rostros de esas personas,
• documentar qué se ha entregado y a quién.

Este modelo refuerza el principio de minimización del artículo 5 del RGPD [1].

También conviene diferenciar entre “acceso a los datos” y la expectativa de que el paciente reciba el archivo bruto sin modificaciones. En un centro sanitario, esto muy a menudo sería inadecuado, porque la imagen también incluye a otros pacientes y al personal. Por eso, una práctica frecuente es entregar una versión limitada al alcance necesario o permitir una visualización controlada, si así se protegen mejor los derechos de otras personas. El modelo concreto depende de las circunstancias del caso [1][2].

Difuminado de rostros y software on-premise en el trabajo diario del centro

Si una clínica gestiona grabaciones de videovigilancia con regularidad, la preparación manual de cada archivo se convierte rápidamente en una carga organizativa. Aquí es donde entran en juego las herramientas de anonimización de datos visuales. Gallio PRO es un software on-premise utilizado para anonimizar datos visuales, algo especialmente relevante para las organizaciones que quieren procesar el material localmente, sin enviarlo a servicios externos en la nube.

Ahora bien, conviene describir con precisión las capacidades de este tipo de herramienta. Gallio PRO no difumina cuerpos completos, sino únicamente rostros y matrículas. El software no realiza anonimización en tiempo real ni anonimización de flujos de vídeo. La detección automática se limita exclusivamente a rostros y matrículas. No incluye de forma automática logotipos de empresas, tatuajes, placas identificativas, documentos ni el contenido visible en pantallas de ordenador. Estos elementos pueden difuminarse manualmente en el editor integrado en el programa.

Esto es importante tanto para la dirección administrativa como para recepción. Si la cámara situada en el puesto de trabajo capta un monitor de ordenador o la acreditación de un empleado, la automatización por sí sola no basta. Hace falta además una fase sencilla de revisión manual del material antes de compartirlo. Este flujo de trabajo puede probarse gratis descargando la versión de demostración y comprobando cómo se prepara una copia de una grabación de la sala de espera o de recepción.

Ausencia de logs con datos de detección: por qué importa

En un centro sanitario, no solo importa qué se difumina, sino también qué datos permanecen tras el propio proceso de anonimización. Según las directrices facilitadas sobre Gallio PRO, el software no recopila registros que contengan detecciones de rostros y matrículas. Tampoco recopila logs que contengan datos personales ni categorías especiales de datos.

Desde el punto de vista del cumplimiento normativo, esta es una característica organizativa valiosa. Reduce la cantidad de artefactos adicionales que luego habría que proteger, describir y eliminar. Por supuesto, esto no exime al centro de evaluar todo el proceso, pero sí respalda el principio de limitación de datos al mínimo necesario [1]. En implantaciones de mayor envergadura, especialmente cuando se requiere integración con infraestructura local o existen requisitos específicos de seguridad, merece la pena ponerse en contacto con el equipo para definir el modelo de despliegue on-premise.

Tabla: qué hacer con una grabación en las zonas típicas de una clínica

Errores más frecuentes en los centros sanitarios

El primer error consiste en tratar cualquier grabación de videovigilancia como material “interno” que luego puede compartirse fácilmente. El segundo error es un encuadre demasiado amplio de la cámara en recepción. El tercero, la ausencia de un procedimiento para las solicitudes de pacientes. El cuarto, asumir que si se difumina el rostro de una persona, el resto del encuadre deja de importar. Sin embargo, en el material pueden permanecer otros identificadores visuales que requieren edición manual. El quinto error es confundir una herramienta de anonimización con un sistema que funciona en directo. Conviene subrayarlo una vez más: Gallio PRO no realiza anonimización en tiempo real ni anonimiza flujos de vídeo.

Qué conviene implantar como estándar operativo

Para recepción y para el personal administrativo, lo que mejor funciona es un estándar sencillo. El material de videovigilancia se evalúa antes de cada cesión. Si la grabación contiene a terceros, se prepara una copia de trabajo con difuminado de rostros. Si se ven matrículas, el centro valora su difuminado como medida prudente. Si en el encuadre aparecen identificadores que no se detectan automáticamente, se aplica edición manual. Todo ello debería describirse en un procedimiento breve y comprensible también para el personal sin formación jurídica.

FAQ - videovigilancia en consultas médicas y clínicas

¿Puede una clínica tener videovigilancia en la sala de espera?

En principio, sí, siempre que exista una finalidad determinada y se cumplan las obligaciones de información. No obstante, la mera existencia de videovigilancia no implica libertad para publicar las grabaciones. Cualquier uso posterior del material requiere una evaluación independiente de conformidad con el RGPD [1].

¿Puede un paciente solicitar una copia de la grabación de recepción?

El paciente puede presentar una solicitud relativa a sus datos, pero el centro normalmente debe tener en cuenta los derechos de las demás personas visibles en el material. En la práctica, esto suele significar la entrega de una versión con los rostros de otras personas anonimizados u otra forma de acceso limitado [1][2].

¿Hay que difuminar los rostros en una grabación de la sala de espera?

En la mayoría de los casos, sí, si la grabación va a compartirse con terceros o a publicarse. En un centro sanitario, el rostro de un paciente muy a menudo permite la identificación y requiere protección [1].

¿Hay que difuminar las matrículas cerca de la clínica?

En España y en el marco europeo, no siempre es una cuestión completamente unívoca. Sin embargo, el enfoque prudente suele estar justificado, especialmente cuando la grabación puede vincularse con una visita a un centro sanitario. No puede asumirse, en cualquier caso, que las matrículas nunca constituyan datos personales.

¿Gallio PRO difumina toda la figura de una persona?

No. Gallio PRO difumina automáticamente solo rostros y matrículas. No difumina cuerpos completos.

¿Gallio PRO detecta automáticamente documentos, tatuajes y pantallas de ordenador?

No. La detección automática se limita exclusivamente a rostros y matrículas. Los documentos, tatuajes, logotipos, placas identificativas y el contenido visible en pantallas requieren difuminado manual en el editor.

¿El software guarda logs con datos de detección?

No. Según las directrices facilitadas, Gallio PRO no recopila registros que contengan detecciones de rostros y matrículas, ni tampoco logs que contengan datos personales o categorías especiales de datos.