Drones y protección de datos. Letradox Abogados
Drones y protección de datos. Letradox Abogados
En los últimos años el auge de los drones en la sociedad ha ido en aumento. Desde un uso recreativo a un uso profesional. La problemática surge en materia de protección de datos. Estos dispositivos suelen estar dotados de medios para la grabación y reproducción de imagen y sonido.
Ya el artículo 26 del Real Decreto 1036/2017, de 15 de diciembre. Por el que se regula la utilización civil de las aeronaves pilotadas por control remoto. Prevé la obligación de los operadores de drones de:“adoptar las medidas necesarias para garantizar el cumplimiento de lo dispuesto en materia de protección de datos personales y protección de la intimidad”. Pero, ello no fue suficiente ya que surgen muchas dudas respecto al tratamiento de datos.
Por ello, la Agencia Española de Protección de Datos ha publicado la Guía Drones y Protección de Datos. Distingue entre:
- Las que no tratan datos.
- Las que de forma eventual podrían captar información.
- Aquellas que implica un tratamiento de datos personales (videovigilancia o la grabación de eventos).
La guía no discrimina entre uso privado y profesional. Siendo aplicable en ambos casos. Tanto para los operadores que a través de sus drones registren y/o procesen datos, tales como , imágenes, vídeos, sonidos, datos biométricos, geolocalizaciones, entre otros, relativos a personas identificadas o identificables.
Tipos de operaciones según el tratamiento de datos
Las operaciones con drones se pueden clasificar en tres categorías según su finalidad:
- Las que no incluye el tratamiento de datos personales:
Son operaciones con drones con configuraciones muy básicas que pueden o no incluir GPS para asistencia de vuelo pero carecen del uso de captación de imágenes.
En esta categoría en el ámbito recreativo se incluye el uso de drones con GPS y cámaras. El uso de tales imágenes esta destinado a un uso domestico. O exclusivamente personal que no permite la identificación de personas en las imágenes.
No se aplica la normativa de protección de datos personales. No obstante, hay que tener en cuenta la obligación a respetar las zonas privadas (como jardines, patios, terrazas, interior de viviendas, etc).
En caso de que contengan imágenes o datos relativos a personas, matriculas de vehículos, viviendas u objetos que permitan la identificación de personas habría que anonimizarlo mediante técnicas de difuminado.
- Las que no incluye el tratamiento de datos personales a priori pero existe riesgo de forma colateral
En operaciones como la inspección de infraestructuras, levantamientos topográficos, inspecciones y/o tratamientos del terreno u otros servicios de fotografía y vídeo (para cine, TV, publicidad, etc.…).
A priori no incluye el tratamiento de datos personales porque esa no es su finalidad. Sin embargo, existe el riesgo de que se produzca captura de datos personales de forma no intencionada. Por ejemplo, la captura de imágenes de personas en segundo plano.
Ello podría tener impacto sobre el derecho a la protección de datos y la intimidad de las personas. Para evitarlo aconseja AEPD, minimizar la presencia de personas y objetos que permitan su identificación. Realizando los vuelos de los drones en horarios con poca afluencia de personas o controlando el acceso al lugar del rodaje.
Otra recomendación es minimizar la captura de imágenes a lo realmente necesario. Promover y aplicar características de privacidad desde el diseño, como por ejemplo implantando mecanismos para iniciar y detener la captura de datos en cualquier momento durante la operación. Realizar capturar a mucha distancia para que no sea posible la identificación de personas.
Por ultimo, aplicar el principio de minimización de protección de datos. Es decir, recabar los datos estrictamente necesarios. Evitando el almacenamiento de información innecesaria relativa a personas. Por ejemplo, si las imágenes tienen por finalidad un levantamiento topográfico de una zona de costa, no tiene sentido que se almacene imágenes con los bañistas.
- Las que tienen tratamiento de datos personales.
Como es el caso de la videovigilancia o la vigilancia o grabación de eventos. En estas operaciones de aplicación el RGPD y la LOPDGDD. Cuando un dron realice funciones de captación de imágenes con fines de videovigilancia de lugares privados, le será de aplicación el RGPD.
Implica la obligatoriedad de cumplir con el deber de información del artículo 13. Pues la realización de un registro de actividades de tratamiento, o la adopción de medidas de seguridad en función del análisis de riesgo realizado.
El deber de informar sobre el tratamiento de datos personales con fines de seguridad que incluyan captación de imágenes mediante carteles informativos en los accesos a las zonas videovigiladas y de forma visible.
El cartel informativo, debe de indicar:
- La finalidad,
- Quien es el responsable del tratamiento
- La forma en la que los afectados pueden ejercer sus derechos.
Se deberá de tener en cuenta lo previsto en el artículo 22 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
Otro mecanismo para cumplir con el derecho de información. Que se proporcione por medios electrónicos, señalizaciones en el evento, hojas informativas, publicaciones en redes sociales, folletos o pósteres .
Por lo tanto, se debe de encontrar el modo más apropiado de informar a quienes van a verse afectados por el tratamiento de datos.
Tomar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado a los riesgos para los derechos y libertades de las personas. El objetivo es prevenir cualquier tratamiento no autorizado durante la fase de transmisión de los datos capturados.
Otras medidas de seguridad para tales tratamiento. Seria eliminar o anonimizar cualquier dato personal innecesario. Incorporar el principio de privacidad desde el diseño en la configuración de la acción de videovigilancia y grabación de eventos. Hacer que los drones sean lo más visibles e identificables posibles. Para que el interesado sepa quien es el responsable del tratamiento de datos.
