Seguridad

¿Cuánto tiempo conservar las imágenes de videovigilancia? La regla de las 4 semanas

7 de julio de 2026 · 12 min de lectura · DeSnipperaar

¿Cuánto tiempo puede conservar las imágenes de videovigilancia? Para las imágenes de seguridad corrientes, la autoridad de protección de datos aplica como criterio un máximo de 4 semanas, es decir 28 días. Más tiempo solo se permite cuando hay un incidente concreto o una acción judicial en curso. Tras ese plazo, las imágenes deben borrarse o sobrescribirse. Este artículo explica de dónde salen esas 4 semanas, cuándo puede apartarse y cómo eliminar las imágenes después.

La pregunta de cuánto tiempo se pueden conservar las imágenes de videovigilancia parece sencilla, pero la respuesta toca enseguida el núcleo del RGPD. Las imágenes de videovigilancia son datos personales, porque toda persona que aparece en cámara es identificable. Por eso se aplica a las grabaciones el mismo principio que a cualquier otro dato personal: no las conserva más tiempo del necesario. Cómo se traduce esto en la práctica se expone a continuación. Para la visión de conjunto completa sobre conservación y destrucción, consulte el pilar detallado sobre la conservación y destrucción de imágenes de videovigilancia.

El estándar: unas 4 semanas

La autoridad de protección de datos aplica como criterio que las imágenes de videovigilancia se conservan un máximo de cuatro semanas. Cuatro semanas son 28 días. Eso es, para la mayoría de las organizaciones, más que suficiente para descubrir un incidente y poner a salvo las imágenes correctas. La ley no fija una cifra exacta, pero ese plazo se ha convertido en la norma en la práctica. Quien se atiene a él está en regla. Quien quiere conservar más tiempo necesita un motivo concreto. Cuatro semanas no son por tanto una obligación que haya que apurar, sino un límite superior para la situación corriente. En la mayoría de los casos detecta un robo, una queja o un daño en pocos días. El tiempo que queda dentro de esas cuatro semanas es su margen para reaccionar con calma y asegurar las imágenes correctas antes de que se sobrescriban.

Por qué 4 semanas es la norma

Detrás de esas cuatro semanas hay dos principios del RGPD. El primero es la limitación de la conservación: no guarda los datos personales más tiempo del que la finalidad exige. El segundo es la proporcionalidad: la injerencia en la privacidad debe ser proporcional a la finalidad. La finalidad de las cámaras de seguridad es detectar incidentes y resolverlos. Un plazo de semanas basta para eso, no de meses. Cuanto más tiempo conserva las imágenes, mayor es la injerencia sin que la finalidad se sirva mejor. Cuatro semanas son el equilibrio que el supervisor considera razonable.

¿Qué son imágenes de seguridad corrientes?

El criterio de las cuatro semanas vale para las imágenes de seguridad corrientes. Son imágenes de una entrada, una oficina, un almacén, un aparcamiento o una fachada, hechas para contrarrestar el robo, el vandalismo o situaciones inseguras. En esas imágenes figuran rostros de empleados y visitantes, a veces matrículas y patrones de movimiento. No son datos de categoría especial en el sentido del RGPD, pero sí datos personales corrientes que merecen protección. Para esta categoría, cuatro semanas son el punto de partida. Si tiene cámaras con otra finalidad u otra sensibilidad, la valoración puede resultar distinta.

Las excepciones: incidente y conservación más larga

Conservar más de cuatro semanas se permite, pero solo con un motivo. El RGPD admite tres situaciones:

• Un incidente concreto que exige investigación, como un robo, una agresión, un accidente o una queja.
• Una acción judicial en curso para la que las imágenes sirven de prueba.
• Un deber legal específico que exige una conservación más larga, lo que es poco frecuente.

La misma regla vale para cada excepción: conserve solo el fragmento pertinente, no todo el archivo. Recorta los minutos en torno al incidente, los aparta y deja que el resto se sobrescriba sin más. Así la excepción se limita a lo que de verdad hace falta.

¿Hasta dónde es demasiado tiempo?

Un plazo fijo de varios meses para imágenes corrientes, sin motivo, casi siempre es demasiado tiempo. Los supervisores miran con ojo crítico los sistemas que lo guardan todo durante meses solo porque el disco es grande. Eso no es un motivo válido. La sensibilidad del lugar también cuenta. En un espacio interior tranquilo con pocos incidentes, incluso un plazo más corto que cuatro semanas puede ser más adecuado. En un lugar de riesgo, cuatro semanas pueden ser justo lo correcto. La cuestión no es apurar el plazo, sino poder explicar por qué su plazo encaja con su situación. Una regla útil es preguntarse cuánto tiempo necesita realmente para detectar un incidente y resolverlo. Si la respuesta es unos días, entonces un plazo de semanas ya es generoso. Quien conserva meses sin esa valoración se arriesga a que el supervisor califique el plazo de excesivo. Conservar poco no es por tanto solo limpio para la privacidad, también reduce su propio riesgo ante una brecha.

¿Quién decide el plazo de conservación?

El plazo de conservación lo decide usted mismo como responsable del tratamiento, es decir como organización o persona que instala las cámaras. Usted hace el equilibrio entre la finalidad de seguridad y la privacidad de las personas grabadas. Deja constancia de esa elección y puede justificarla. No es cuestión de un proveedor que deja puesto el ajuste por defecto del NVR. La responsabilidad del plazo es suya, no del fabricante del sistema. Por eso el plazo también tiene su sitio en su propia documentación, no solo en el software.

¿Qué pasa tras el plazo de conservación?

Tras el plazo de conservación, las imágenes deben irse. Guardarlas ya no se permite, porque la finalidad se ha cumplido o el plazo ha vencido. En la práctica, ese borrado suele ocurrir automáticamente: un NVR o un DVR sobrescribe las grabaciones más antiguas con otras nuevas en cuanto el disco está lleno. Si ese ciclo de sobrescritura coincide con su plazo, cumple el requisito. Las imágenes que ha apartado para un incidente las borra en cuanto se resuelve el asunto. Dejarlas tras el plazo es una infracción, aunque nadie llegue a ver las imágenes.

La sobrescritura por el NVR o el DVR

La forma corriente en que las imágenes desaparecen es la sobrescritura. Un NVR o un DVR graba sin parar y borra por sí solo las imágenes más antiguas cuando el disco se llena. Lo que importa, por tanto, es que el ciclo de sobrescritura coincida con su plazo de conservación:

• Ajuste el tiempo de sobrescritura a cuatro semanas o menos.
• Compruebe que el disco no sea tan grande que las imágenes queden más tiempo del previsto.
• Ponga las imágenes de un incidente en una carpeta separada con su propio plazo.
• Deje constancia del ajuste, para poder mostrar que el ciclo es correcto.

La sobrescritura basta para el funcionamiento diario. Solo se convierte en otra historia cuando el propio sistema se sustituye.

Sobrescritura frente a destruir el disco

Mientras el sistema funciona, la sobrescritura sirve. Pero cuando el NVR o el DVR sale del edificio, en una actualización, una avería o el fin de su vida útil, la sobrescritura no basta. En el disco duro antiguo quedan entonces imágenes, y con el software adecuado suelen poder recuperarse. Un disco que sale del local sin destrucción segura es una brecha de datos en ciernes. Por eso el disco debe salir y destruirse físicamente, no entregarse al instalador ni ir con la chatarra. Cómo funciona ese triturado está en triturar un disco duro.

Destruir el disco de forma segura al sustituirlo

Al sustituir un sistema de cámaras sigue una ruta fija. Inventaríe primero todos los soportes de almacenamiento, es decir el disco del NVR pero también las posibles tarjetas SD de cámaras autónomas. Saque el disco antes de que se lleven el equipo antiguo. Hágalo destruir físicamente al nivel adecuado para soportes de datos, normalmente DIN H-4 o H-5. Conserve un certificado por disco con el número de serie. Así podrá mostrar más tarde que las imágenes están irreversiblemente eliminadas. Esto enlaza con la destrucción demostrable, con un certificado de destrucción como prueba para su expediente. No entregue nunca el disco sin más al técnico que instala el nuevo sistema. Para él, el aparato viejo es chatarra, para usted aún contiene datos personales de los que sigue siendo responsable. Lo mismo vale para las tarjetas SD de cámaras IP autónomas y para un posible disco de respaldo. Inventaríe por tanto todo lo que alguna vez grabó imágenes antes de que salga del edificio. Un disco que usted mismo manda triturar produce una prueba concluyente, mientras que un aparato que se extravía en un contenedor le pone en apuros ante una inspección.

Plazo de conservación de las imágenes: un resumen

La tabla siguiente resume lo que vale en la mayoría de los casos. Sigue siendo un criterio, porque su propia valoración prima.

Situación	Plazo de conservación orientativo	Forma de eliminar
Imágenes de seguridad corrientes	4 semanas como máximo	Sobrescritura automática
Lugar concurrido, pocos incidentes	Menos de 4 semanas puede encajar	Sobrescritura automática
Incidente concreto	Hasta la resolución	Fragmento aparte, luego borrar
Acción judicial en curso	Hasta el cierre del caso	Fragmento aparte, luego borrar
Sistema o disco sustituido	No aplicable	Destruir físicamente el disco

Empresa frente a hogar

Para una empresa, las reglas del RGPD se aplican por completo: una finalidad, un plazo de unas cuatro semanas y documentación. Para un particular con una cámara en casa es distinto. Si filma solo su propio terreno, eso cae bajo la excepción doméstica y el RGPD no se aplica con rigor. Pero en cuanto su cámara capta la vía pública o el jardín del vecino, esa excepción decae y se aplican las mismas reglas que a una empresa. También en casa, cuatro semanas son entonces un límite superior sensato. Las reglas para ambas situaciones están en las reglas de cámaras de vigilancia en empresa y hogar.

Dejar constancia del plazo en el registro de actividades

El plazo de conservación elegido tiene su sitio en su registro de actividades de tratamiento. Allí deja constancia, por sistema de cámaras, de cuál es la finalidad, qué categorías de personas se graban, cuánto tiempo conserva las imágenes y cómo las elimina después. Así el plazo no es solo un ajuste en el NVR, sino una elección consciente que puede justificar. Si llega una pregunta de un supervisor o de un interesado, puede mostrar de un vistazo que su plazo es correcto. El resumen de los plazos habituales para otros datos está en la guía rápida de plazos de conservación del RGPD.

¿Y si se filtran imágenes?

Si se filtran imágenes de videovigilancia, por ejemplo porque un disco antiguo se tiró sin protección, eso puede ser una brecha de datos que debe notificar en 72 horas a la autoridad de protección de datos. Un plazo de conservación demasiado largo aumenta el daño, porque cuantas más imágenes tenía, más pueden acabar a la vista. Un plazo limpio reduce en cambio el riesgo. Si puede mostrar que las imágenes antiguas ya se habían sobrescrito o el disco ya estaba destruido, está en mejor posición. Cómo funciona el deber de notificación está en notificar una brecha de datos en 72 horas.

Errores frecuentes

• Guardarlo todo durante meses porque el disco es grande. Eso no es un motivo válido.
• Dejar el ajuste por defecto. Compruebe que el ciclo de sobrescritura coincide con cuatro semanas.
• Guardar todo el archivo por un incidente en lugar de solo el fragmento pertinente.
• Entregar el disco antiguo al instalador sin destrucción ni certificado.

En regla en 4 pasos

1. Determine su plazo de conservación y aténgase a cuatro semanas, salvo que más corto encaje mejor.
2. Ajuste el ciclo de sobrescritura a ese plazo y compruebe que es correcto.
3. Deje constancia del plazo en su registro de actividades con la finalidad y el lugar de almacenamiento.
4. Destruya el disco de forma segura al sustituirlo, con un certificado como prueba.

Preguntas frecuentes

¿Cuánto tiempo se pueden conservar las imágenes de videovigilancia?

Para las imágenes de seguridad corrientes, la autoridad de protección de datos aplica como criterio un máximo de 4 semanas, es decir 28 días. Más tiempo solo se permite ante un incidente concreto o una acción judicial en curso, y entonces solo el fragmento pertinente.

¿Cuál es el plazo de conservación de las imágenes de videovigilancia?

El estándar es de unas 4 semanas. En un lugar concurrido con pocos incidentes, un plazo más corto puede ser más adecuado. Un plazo fijo de meses sin motivo suele ser demasiado largo.

¿Qué pasa con las imágenes tras el plazo de conservación?

Las imágenes deben borrarse. En un NVR o un DVR ocurre automáticamente por sobrescritura, siempre que el ciclo esté ajustado a cuatro semanas o menos. Al sustituir el sistema, el disco se destruye de forma segura.

¿Cuánto tiempo conserva una empresa las imágenes?

La mayoría de las empresas las conservan cuatro semanas. El plazo figura en el registro de actividades de tratamiento, junto con la finalidad y el lugar de almacenamiento. Las imágenes de un incidente se conservan aparte hasta su resolución.

¿Puede un particular conservar las imágenes más tiempo?

Si filma solo su propio terreno, el RGPD no se aplica con rigor. Si la vía pública o el terreno del vecino entra en cuadro, se aplican las mismas reglas y cuatro semanas son un límite superior sensato también en casa.

Conclusión

Cuánto tiempo puede conservar las imágenes de videovigilancia se reduce a una regla clara. Para las imágenes de seguridad corrientes, cuatro semanas son la norma, más corto donde encaje, más largo solo ante un incidente o una acción judicial. Tras el plazo, las imágenes deben irse, normalmente por sobrescritura y, al sustituir, por destrucción segura del disco. Deje constancia de su plazo en el registro de actividades y asegúrese de poder justificar su elección. Así cumple el RGPD y evita que las imágenes antiguas queden rondando más tiempo del permitido.

Lea también: el pilar sobre la conservación y destrucción de imágenes de videovigilancia, y los artículos relacionados sobre destruir y borrar imágenes de videovigilancia, las imágenes de videovigilancia y los derechos del RGPD y las reglas de cámaras de vigilancia en empresa y hogar.

---

¿Hacer destruir de forma segura un disco de grabación antiguo? Solicite un presupuesto en desnipperaar.nl. Recogemos el disco, lo destruimos al nivel adecuado y recibe un certificado como prueba para su expediente RGPD.