Grabaciones de cámaras de seguridad: cómo localizarlas y conseguirlas antes de que se borren

Te llega el encargo un martes por la tarde. Una empresa de logística ha detectado que le faltan tres palés de material de su nave en un polígono, y sospechan que salieron por la puerta de carga un fin de semana. Tienen seguro, tienen un parte, y tienen una fecha aproximada: «entre el 12 y el 15».

Lo que no tienen es una sola imagen. Su cámara interior llevaba meses sin grabar y nadie se había dado cuenta.

Así que la pregunta que te ponen encima de la mesa es la de siempre: ¿alguna cámara de por ahí lo vio?

Y ahí hay dos trabajos distintos que casi todo el mundo mezcla. Uno es averiguar qué cámaras miraban ese punto. El otro, conseguir que alguien te entregue lo que grabaron. Se hacen en orden, y el segundo tiene fecha de caducidad.

Te cuento cómo se hacen los dos.

 

 

Esa última frase es la que conviene subrayar. La mayoría de los encargos de este tipo no se pierden porque nadie quisiera colaborar: se pierden porque cuando se pidieron las imágenes ya no existían.

 

 

👉 El reloj: un mes, no treinta días

Aquí hay un matiz que casi toda la información que circula por internet repite mal, y conviene tenerlo fino porque cambia los cálculos.

El artículo 22.3 de la Ley Orgánica 3/2018 dice literalmente que los datos serán suprimidos en el plazo máximo de un mes desde su captación. Un mes, no treinta días. La cifra de los «30 días» es una simplificación que se ha ido repitiendo de web en web y que no aparece en el texto legal, ni en la anterior referencia de la Agencia Española de Protección de Datos, que también hablaba de un mes.

La diferencia no es cosmética. Un mes desde una captación del 31 de enero vence el 28 de febrero; treinta días, el 2 de marzo. Cuando lo que se juega es si un vídeo sigue existiendo, esos dos días son el encargo entero.

En la práctica hay otro problema mayor: el plazo legal es un máximo, no un mínimo. Muchos sistemas domésticos y de pequeño comercio graban en bucle sobre un disco pequeño y se sobrescriben solos a los siete, diez o quince días. La ley te da hasta un mes; el disco duro de la frutería de la esquina te puede dar cinco días.

Hay una segunda cuenta atrás, y esta juega a favor. Cuando las imágenes acreditan hechos que atentan contra la integridad de personas, bienes o instalaciones, el mismo artículo obliga a ponerlas a disposición de la autoridad competente en un máximo de setenta y dos horas desde que se tuvo conocimiento de que existen. Fíjate en que la ley no dice «delito», dice actos que atenten contra personas, bienes o instalaciones: bastante más ancho, y te sirve en encargos donde todavía no hay calificación penal de nada.

Por eso el orden correcto de trabajo es al revés de lo que parece intuitivo. Primero se congela, después se investiga con calma.

Paso 1: mapear qué cámaras vieron ese punto

Esta fase es pura geolocalización de fuentes abiertas, y es donde un investigador con método le saca metros a uno que se planta allí a mirar hacia arriba.

Se trabaja sobre el punto exacto y la franja horaria, y lo primero es reconstruir el escenario sin pisarlo: el histórico de Street View permite ver el mismo cruce en distintos años, y una cámara montada en una fachada hace dos años sigue estando ahí con bastante probabilidad. Es la misma lógica temporal que se usa para situar una foto en el sitio y la fecha en que se hizo, aplicada ahora a inventariar dispositivos en vez de a ubicar una imagen. Eso sí, sirve para orientar el barrido, no para afirmar que una cámara existía, funcionaba y grababa el día que te interesa. Eso se comprueba.

A partir de ahí, el barrido se hace por familias, porque cada familia se pide a una puerta distinta.

 

 

Las dos últimas filas merecen una nota, porque se meten en el mismo saco y no son lo mismo. Las cámaras policiales en vía pública, incluidas las de policía local, se rigen por la Ley Orgánica 4/1997: su artículo 8 manda destruirlas en el plazo máximo de un mes, con tres excepciones que conviene citar enteras porque son más anchas de lo que parece: que estén relacionadas con infracciones penales o administrativas graves o muy graves en materia de seguridad pública, con una investigación policial en curso, o con un procedimiento judicial o administrativo abierto. Fíjate en la primera: no hace falta que haya ya una investigación abierta para que esa grabación deba conservarse. Y si captan un posible delito, el artículo 7 obliga a poner el soporte original a disposición judicial en un máximo de setenta y dos horas.

Las de tráfico van por otro camino: la disposición adicional octava de esa misma ley las remite a la autoridad encargada de la regulación del tráfico y a su normativa específica. No es un matiz académico. Si pides imágenes de una cámara de tráfico invocando el régimen policial, te contestan que no es su régimen, y has perdido una semana.

Aquí conviene tumbar una idea muy extendida: la de que las cámaras de carretera solo emiten y no guardan nada. En la red gestionada por la DGT no es así, y no hace falta preguntarlo porque está publicado. Ojo con generalizarlo: lo que viene a continuación vale para ese tratamiento concreto, no para cualquier cámara de cualquier administración, autonómica, municipal o de una concesionaria. El inventario de actividades de tratamiento de la DGT incluye un tratamiento llamado «Gestión del tráfico» cuyas categorías de datos son imágenes de usuarios de la vía, imágenes y listado de matrículas, y el registro de fecha y hora de paso por un punto de control. Y fija el plazo con todas las letras: las imágenes se almacenan durante 30 días.

Ese mismo documento declara a quién van esas imágenes cuando salen: Fuerzas y Cuerpos de Seguridad, órganos judiciales, otros organismos públicos y las concesionarias. La vía es el oficio policial o el requerimiento judicial, y no por costumbre administrativa: está declarado por escrito.

Un detalle que ahorra semanas: en ese inventario hay otro tratamiento llamado «Videovigilancia», pero es el control de acceso a los edificios del organismo. Quien redacte la petición invocando videovigilancia llama a la puerta equivocada. El nombre que hay que citar es gestión del tráfico.

Con el resto de cámaras públicas —las de un ayuntamiento en un polideportivo, las de un ministerio en su puerta, las de una universidad o una empresa de transporte— la regla es otra, y es la que conviene retener: el régimen no lo decide de quién es la cámara, sino para qué se puso. El artículo 22.1 empieza diciendo que pueden tratar imágenes las personas físicas o jurídicas, públicas o privadas. Una cámara municipal instalada para vigilar un almacén no es seguridad ciudadana: es un tratamiento ordinario, y va por la misma vía que la de una tienda. En un mismo ayuntamiento puedes tener cámaras bajo dos regímenes distintos, y quien pide invocando el equivocado se come una negativa formal.

Cuál es cuál se averigua sin adivinar, igual que con la DGT: el artículo 31.2 obliga a los organismos del sector público a hacer público un inventario de sus actividades de tratamiento accesible por medios electrónicos. Ahí figura cada tratamiento con su finalidad, su plazo y sus destinatarios. Media hora de lectura te ahorra tres oficios mal dirigidos.

La tabla da plazos, pero no todas las filas valen lo mismo en la práctica. El comercio pequeño es el eslabón frágil: el mes es el techo legal, no lo que hace el aparato, y un grabador con disco justo sobrescribe en bucle bastante antes. En el extremo contrario, la empresa con seguridad privada contratada suele tener el sistema mejor conservado y mejor documentado, que para lo que nos interesa significa dos cosas: es más probable que la grabación exista, y es más probable que venga con trazabilidad de quién la extrajo.

Y ahora la parte que casi nadie aprovecha, que está escrita en la propia ley.

El artículo 22.4 de la Ley Orgánica 3/2018 obliga a colocar un dispositivo informativo en lugar suficientemente visible que identifique, como mínimo, la existencia del tratamiento, la identidad del responsable y cómo ejercer los derechos. Traducido: ese cartel de «zona videovigilada» que todo el mundo ignora lleva escrito el nombre a quien hay que dirigir la petición. Es la fuente abierta más barata y más olvidada de toda esta fase.

Con el nombre en la mano, el resto es trabajo de escritorio: razón social, domicilio a efectos de notificaciones, y si hay delegado de protección de datos designado. Los operadores de búsqueda avanzada resuelven en dos minutos lo que por teléfono cuesta una mañana.

Con las herramientas que prometen mapas mundiales de cámaras, la misma cautela que con las bases colaborativas de puntos de acceso wifi en la geolocalización de una dirección MAC: dicen dónde se vio algo una vez, no dónde está hoy. Sirven para la densidad de una zona, no para afirmar en un informe que una cámara concreta existía y miraba hacia allí.

✅ Lo que no se hace, por mucho que se pueda

Que una cámara esté mal configurada y su imagen sea accesible desde internet no la convierte en fuente abierta. Y aquí conviene afinar, porque se repite mucho la frase fácil de que eso «es un delito» y no siempre lo es.

Una cosa es documentar que un dispositivo aparece expuesto. Otra muy distinta es abrir la imagen, mirarla, capturarla o meterla en un informe. En cuanto esa señal contiene personas, matrículas o actividad identificable, usarla es tratar datos personales de terceros, y para eso hace falta algo que te legitime. Que el dispositivo estuviera abierto no es una base legitimadora: es un descuido del responsable, no un permiso.

Lo penal depende de cómo entres: si hay que saltarse un acceso, usar credenciales por defecto o forzar una ruta, estás en terreno de acceso no autorizado a un sistema; si la cámara estaba abierta sin barrera alguna, esa calificación es discutible. Pero discutible en lo penal no significa utilizable: el informe que se apoye en esas imágenes queda muy expuesto a impugnación y puede contaminar todo lo demás que hayas hecho bien.

Resúmelo así y no te equivocarás: un buscador de dispositivos puede decirte que una cámara está expuesta. No te autoriza a mirarla, ni a grabarla, ni a usarla.

La técnica de rastrear dispositivos expuestos tiene su sitio legítimo, y es el contrario: auditar la exposición de la propia organización que te contrata, para decirle qué está enseñando sin saberlo. Mismo buscador, encargo distinto, consecuencias opuestas.

👉 Paso 2: por qué vía se pide, según quién seas

Aquí es donde se decide si el encargo avanza o se queda en una carpeta. No hay una sola puerta, hay cuatro, y cada una se abre con una llave distinta.

El derecho de acceso del propio afectado. Quien aparece en las imágenes puede pedirlas al responsable, con el límite de que no se pueden entregar los datos de terceros que salgan en el mismo plano. Funciona bien cuando tu cliente es la persona grabada; no funciona cuando lo que interesa es el vehículo que pasó por detrás o cuando el cliente no aparece en el encuadre.

La vía policial. Presentada la denuncia, las Fuerzas y Cuerpos de Seguridad pueden recabar las imágenes en el curso de la investigación. Es la vía más sólida y la que menos depende de la voluntad del responsable de la cámara. Su tratamiento, por cierto, no se rige por el artículo 22 general, sino, como remite el apartado 6 de ese mismo artículo 22, por la legislación que traspone la Directiva (UE) 2016/680, que es el régimen propio de los tratamientos con fines penales.

La vía judicial. Cuando ya hay procedimiento abierto, el juzgado requiere la entrega y ahí se acaban las dudas. Es la más lenta y la más segura.

El encargo profesional. Un detective privado actúa dentro del marco de la Ley 5/2014, de 4 de abril, de Seguridad Privada, a la que el propio artículo 22.7 se remite expresamente, siempre que haya encargo legítimo, interés legítimo acreditado y proporcionalidad. Con dos límites. No es autoridad: no puede exigir la entrega, puede solicitarla y documentar la negativa, que también es información útil. Y esa misma ley reserva a la investigación privada los hechos y delitos solo perseguibles a instancia de parte, prohíbe contratar la investigación de los perseguibles de oficio y obliga a denunciar de inmediato lo que se conozca de esa naturaleza. Traducido: documentar qué cámaras existen y solicitar formalmente que se conserven, sí; montar por tu cuenta la investigación de un robo, no. Si te estás planteando este camino como profesión, en cómo ser detective privado está el recorrido completo.

Hay un quinto caso que conviene tener claro para no perder el tiempo, y está en el apartado 5 del artículo 22: las cámaras que un particular instala enfocando solo el interior de su propio domicilio quedan fuera del ámbito del reglamento. Ojo, que la exclusión se cae si quien tiene acceso a esas imágenes es una empresa de seguridad privada contratada para vigilar la vivienda.

Paso 3: la carta de conservación, que es la palanca real

Este es el movimiento que separa un encargo resuelto de uno que llegó tarde, y es el que casi nadie hace el primer día.

No se pide la entrega. Se pide que no se borre.

Se dirige al responsable identificado en el cartel, por escrito y por un medio que deje constancia de la fecha. Sin florituras: el punto concreto que se quiere preservar, la franja acotada, la naturaleza de los hechos y la advertencia de que hay denuncia presentada o procedimiento en curso. Con eso el responsable ya no atiende a un curioso: tiene delante un aviso formal de que esas imágenes pueden acreditar hechos, con lo que eso implica para sus propios plazos.

Dos detalles que marcan la diferencia. El primero: acota la franja de verdad. «Todo el fin de semana» hace que el responsable tenga que extraer cuarenta y ocho horas de vídeo y es la mejor forma de que la petición se quede en un cajón; «sábado de 22:00 a 02:00» se atiende en diez minutos. El segundo: guarda el acuse. La fecha en que avisaste es un dato del expediente, y si las imágenes aparecen borradas después de tu aviso, esa fecha cambia por completo la conversación.

Y una limitación que nadie cuenta: el responsable de una cámara privada no tiene obligación general de atender a un investigador particular. Muchos colaboran cuando se les explica bien, pero si dice que no, la vía es la denuncia o el juzgado, no la insistencia. Un informe que describa presiones a un tercero para obtener imágenes vale menos que no tener imágenes.

Paso 4: que lo que consigas sirva para algo

Conseguir el archivo es media faena. La otra media es que llegue al informe en condiciones de aguantar que lo discutan.

Un vídeo entregado en un pendrive, sin acta, sin hash y sin constancia de quién lo extrajo, cuándo y de qué sistema, no queda automáticamente inutilizado, pero nace débil: el día que alguien discuta su autenticidad, te faltarán elementos para defenderlo. La cadena de custodia de una evidencia digital no es burocracia: es lo que separa una prueba defendible de un archivo que alguien dice que salió de una cámara. En evidencia digital está el detalle de cómo se documenta, y en obtención de pruebas en internet, el instrumental concreto.

Y deja registrado el propio barrido: qué cámaras se identificaron, cuáles se descartaron y por qué, a quién se pidió y qué contestó. Eso no es relleno del informe: demuestra que fue completo y no una selección conveniente.

👉 Un caso para verlo entero

Marta Cebrián Olaya dirige una distribuidora de material eléctrico, Suministros Yandrel SL, con nave en un polígono de las afueras. Presenta denuncia por la desaparición de tres palés y, un jueves, encarga un trabajo muy concreto: documentar con urgencia qué cámaras pudieron captar la salida del material y solicitar formalmente que esas imágenes no se borren, para ponerlo a disposición de la vía policial y de la aseguradora. Los hechos se sitúan entre el viernes anterior y el lunes.

El encargo está redactado así a propósito. Una sustracción es un delito perseguible de oficio, y eso no lo investiga un detective por su cuenta: lo investiga la policía. Lo que sí cabe es lo que aquí se pide, que es localizar fuentes, preservarlas y ordenar la información para quien tiene la competencia.

Quedan, como mucho, doce días útiles antes de que empiecen a caerse las grabaciones más frágiles.

Jueves y viernes por la mañana. Reconstrucción del entorno sobre cartografía y vistas de calle: el vial tiene tres naves enfrente y una rotonda al final, único punto de salida hacia la autovía. Seis posiciones con cámara visible. La visita a pie para leer los carteles da cuatro responsables identificados y descarta dos: un taller cerrado y una carcasa vacía de las que se ponen para disuadir.

Viernes por la tarde y lunes. Salen las cuatro peticiones de conservación con la franja acotada —viernes de 18:00 a 23:00 y domingo de 06:00 a 10:00, las dos ventanas compatibles con el cierre y con el parte del seguro—. Contestan tres: una empresa de mecanizados conserva quince días y tiene la ventana del domingo, la comunidad contigua deriva al administrador, y el cuarto no contesta nunca.

 

 

El encargo no termina con un culpable señalado, y así es como termina la mayoría. Termina con una matrícula parcial, una hora exacta y una fuente preservada y documentada con garantías, que es justo el material con el que un procedimiento sí puede avanzar. Lo que hizo que existiera no fue ninguna técnica sofisticada: fue mandar cuatro correos el viernes en vez del miércoles siguiente.

 

 

El método, en orden

1. Acotar el punto exacto y la franja horaria antes de mirar ninguna cámara.
2. Inventariar posiciones sobre cartografía e histórico de vistas de calle.
3. Comprobar sobre el terreno cuáles son reales y leer los carteles para obtener los responsables.
4. Mandar las peticiones de conservación el mismo día, con la franja acotada y acuse de recibo.
5. Elegir la vía de obtención según quién seas y qué relación tenga tu cliente con las imágenes.
6. Documentar la recepción con acta y hash, y dejar registrado también lo que se descartó.

Si el encargo tiene además una capa de dispositivos y no solo de cámaras, el pilar de este bloque explica cómo se trabaja la geolocalización a partir de una dirección MAC, que es la otra mitad de situar a alguien en un sitio y una hora.

Preguntas frecuentes

¿Cuánto tiempo se guardan las grabaciones de una cámara de seguridad?

El plazo máximo legal es de un mes desde la captación, según el artículo 22.3 de la Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD). Es un máximo, no un mínimo: muchos equipos de comercio pequeño sobrescriben en bucle a los siete o diez días. Si las imágenes acreditan hechos contra personas, bienes o instalaciones, deben conservarse y ponerse a disposición de la autoridad competente en un máximo de setenta y dos horas.

¿Puede un particular pedir las imágenes de una cámara ajena?

Puede ejercer el derecho de acceso sobre las imágenes en las que él mismo aparezca, y el responsable debe atenderlo protegiendo a los terceros del mismo plano. Fuera de ese supuesto puede pedir por escrito que se conserven y hacer constar por qué son relevantes, pero no exigir que se las entreguen: eso llega por denuncia, intervención policial o requerimiento judicial.

¿Cómo se sabe quién es el dueño de una cámara de la calle?

Por el cartel informativo. El artículo 22.4 de la Ley Orgánica 3/2018 obliga a que ese dispositivo identifique la existencia del tratamiento, la identidad del responsable y cómo ejercer los derechos. Es información que la propia norma manda hacer pública, y es el punto de partida para dirigir cualquier petición.

¿Vale una grabación de videovigilancia como prueba?

Puede valer, si se obtuvo de forma lícita y llega con su trazabilidad documentada. Lo que se impugna con más facilidad no es el contenido del vídeo, sino el camino que recorrió: quién lo extrajo, cuándo, con qué integridad y con qué constancia. Sin eso, la defensa no discute lo que se ve, discute de dónde salió.

¿Se puede usar OSINT para localizar cámaras sin ir al sitio?

Para inventariar posiciones, sí: cartografía, histórico de vistas de calle y fuentes públicas dan un primer mapa de por dónde buscar, en la línea de otras técnicas de ubicación a partir de fuentes abiertas. Para afirmar que una cámara existe y graba, no: eso se comprueba. Y localizar una cámara expuesta tampoco convierte su señal en OSINT: saber que un dispositivo está expuesto es una cosa y usar sus imágenes es otra, para la que hace falta una legitimación que el descuido del dueño no da.

 

 

Si algo tiene este tipo de encargo es que castiga la calma y premia el orden. Las imágenes no se pierden por falta de técnica: se pierden por los días que pasan entre que alguien te cuenta el problema y alguien manda el primer correo.

Como decía Holmes, no hay nada más engañoso que un hecho evidente. Que hubiera cámaras no significa que quede algo grabado, y averiguar cuál de las dos cosas es cierta es exactamente el trabajo.

¿Has tenido que pelearte con una petición de imágenes que llegó tarde? Cuéntamelo en los comentarios, que de esos casos se aprende más que de los que salen bien.