Un vigilante de seguridad habilitado que hace rondas está prestando una actividad regulada, y eso cambia lo que hay que poder demostrar después. La confusión habitual es sobre quién exige qué: buena parte de lo que las empresas registran no lo pide la norma, lo pide el cliente o la costumbre del sector, y conviene saber distinguirlos antes de discutir con un inspector o con un jefe de seguridad.
La actividad está regulada, la herramienta no
La Ley 5/2014, de Seguridad Privada —ley ordinaria, no orgánica, pese a cómo se cita habitualmente— enumera en su artículo 5.1.a) la vigilancia y protección de bienes, establecimientos, lugares y eventos, así como de las personas que pudieran encontrarse en ellos. Una ronda perimetral encaja ahí de lleno. Eso significa que la presta personal habilitado, con su tarjeta de identidad profesional en vigor, y que la empresa está inscrita.
Lo que no dice la norma es cómo se registra. No hay un formato obligatorio de bitácora, ni una lista tasada de campos, ni una exigencia de que sea digital ni de que sea papel.
Lo que sí obliga: el libro-registro
El Reglamento de Seguridad Privada (RD 2364/1994) impone en su artículo 19 que las empresas de seguridad lleven libros-registro de su actividad. Es la pieza que la mayoría busca cuando pregunta por «la bitácora obligatoria», y merece la pena leer qué es y qué no es:
- Es una obligación de la empresa, no del vigilante a título individual.
- Su función es dejar constancia de los servicios prestados, de forma que la actividad sea verificable a posteriori.
- El soporte no está impuesto. Un registro digital vale, siempre que sea íntegro y verificable — es decir, que se pueda demostrar que no se ha alterado después.
Esa última condición es la que decide si su software sirve o no. Un PDF generado por la app y guardado en una carpeta compartida es discutible por cualquiera. Un registro sellado en tiempo por el servidor, con firma sobre el contenido, no lo es.
Lo que se registra por costumbre, no por norma
Estas cuatro cosas aparecen en casi todas las bitácoras del sector y ninguna viene impuesta por el Reglamento:
La firma manuscrita del vigilante en cada relevo. Viene de la época del libro de papel. Lo que importa es poder acreditar quién prestaba el servicio en cada tramo horario; una identificación digital fiable cumple igual o mejor.
El intervalo fijo entre puntos. Nadie obliga a rondar cada 60 minutos exactos. De hecho, un intervalo perfectamente regular es lo primero que hace sospechar a un inspector, porque las personas no son así de precisas y una cadencia clavada sugiere generación automática.
La fotografía en cada punto. La pide el cliente corporativo, no la norma. Úsela donde aporta —zonas críticas, hallazgos, incidencias— y no como peaje en cada escaneo, porque la fricción hace que se salten los escaneos enteros.
La geolocalización continua del vigilante. Aquí la costumbre no solo no obliga, sino que choca de frente con el RGPD: la localización de un trabajador es dato personal, y el tratamiento tiene que ser proporcionado al fin. Geolocalizar el escaneo de un punto de control es proporcionado; rastrear al vigilante durante toda la jornada es otra cosa, y hay que poder justificarla.
Los cuatro campos que sostienen un registro
Sin formato obligatorio, la referencia útil es qué necesita el registro para servir de prueba:
- Quién — identificación del vigilante que presta el servicio, con su habilitación en vigor.
- Cuándo — momento del evento, sellado por el servidor y no solo por el dispositivo.
- Dónde — el punto de control concreto, no el inmueble genérico.
- Qué — novedad o su ausencia expresa. Un turno sin una sola anotación durante semanas no es un turno tranquilo, es un turno sin documentar.
Con esos cuatro, un registro aguanta una revisión. Sin el segundo, no aguanta ninguna.
Dos errores que salen caros
Fichar sin cobertura y perder el registro. Sótanos, salas de máquinas, perímetros de polígono. Si la aplicación necesita conexión para registrar el escaneo, el hueco en la bitácora aparece justo en los puntos que más importan. El registro tiene que capturarse en local y sincronizar después, conservando la hora real del evento y no la de la subida.
Conservar todo indefinidamente. El RGPD exige minimización: los datos se guardan el tiempo necesario para la finalidad, y el plazo lo fija el responsable conforme a la normativa que le aplique. Un archivo que crece sin política de borrado es un problema de protección de datos, no una prueba de diligencia. Tenga el plazo escrito y sepa justificarlo.
Resumen
- La actividad está regulada (Ley 5/2014, art. 5.1.a); el formato del registro no.
- La obligación de libro-registro es de la empresa y está en el art. 19 del RD 2364/1994. Admite soporte digital si es íntegro y verificable.
- Firma manuscrita, intervalo fijo, foto en cada punto y rastreo continuo son costumbre o exigencia de cliente, no norma — y el último además tiene que superar el test de proporcionalidad del RGPD.
- Quién, cuándo, dónde y qué. El «cuándo» solo vale si lo sella el servidor.
Este artículo describe el marco general y no sustituye al criterio de su asesoría jurídica sobre un contrato concreto.