Drones y Protección de Datos ¿deben cumplir el RGPD?

El uso de drones es cada vez mayor, puesto que se emplean con múltiples fines, desde el ocio hasta el uso profesional, algunos montan cámaras, otros sensores y localizadores GPS, por ello es necesario saber cuándo los drones deben cumplir el RGPD, puesto que algunos usos de drones implican el tratamiento de datos personales, sea este la finalidad principal del empleo del dron o se produzca de forma accesoria o incidental.

¿Cuándo deben cumplir los drones el RGPD?

La respuesta corta sería que los drones deben cumplir el RGPD siempre que de su uso se pueda derivar un tratamiento de datos personales (por ejemplo, si un dron se usa en tareas de videovigilancia o para hacer vídeos de una zona concreta).

Sin embargo, esta respuesta es vaga y necesitamos profundizar más en ella, porque hay diferentes situaciones y actividades para las que se emplean los drones que pueden implicar el tratamiento de datos personales, ya sea este intencional o se produzca de forma accesoria.

Debemos tener en cuenta que los drones pueden montar diferentes equipamientos para la captación de información, incluidos datos personales, como cámaras de vídeo, geolocalizadores, diferentes tipos de sensores, etc. Y que, dependiendo de la actividad en la que usemos el dron, esos equipos de a bordo pueden captar datos personales, por lo que es importante conocer las implicaciones para la privacidad en drones.

¿Cómo cumplir el RGPD en el uso de drones?

Para saber si debemos cumplir el RGPD al usar drones y cómo hacerlo, debemos distinguir entre tres situaciones diferentes, tal y como recoge la guía de la AEPD sobre drones y protección de datos:

• El dron se emplea en actividades que pueden implicar el tratamiento de datos personales de forma colateral o inadvertida, por ejemplo, drones con cámara para tareas de inspección en terreros o carreteras, vigilancia forestal para la prevención de incendios, servicios de vídeo para eventos, cine o publicidad, etc.
• El dron se usa para actividades que implican un tratamiento de datos personales, como, por ejemplo, tareas de videovigilancia.
• El uso del dron no supone en ningún caso tratamiento de datos personales, por ejemplo, participación en torneos.

También es importante conocer la normativa de drones antes de volar estos aparatos, porque existen restricciones y requisitos que deberemos conocer y cumplir antes de lanzar nuestro dron al aire.

Actividades con drones que pueden conllevar tratamientos de datos personales de forma colateral o inadvertida

En el caso de desempeños una actividad en la que el dron pueda captar de manera colateral o inadvertida datos personales, como pueden ser imágenes de personas, matrículas de vehículos o cualquier información que pueda usarse para identificar personas, debemos tener en cuenta las siguientes consideraciones de la normativa de protección de datos:

• Procurar realizar los vuelos en horarios donde haya menos concurrencia de personas o vehículos, de manera que minimicemos la captación de los mismos. Si fuera posible, también se puede controlar el acceso de público a la zona de vuelo.
• Minimizar la captura de imágenes a lo estrictamente necesario. Incluso se puede optar por captar solo momentos determinados del vuelo, en vez de grabar continuamente.
• Si es posible, se recomienda aplicar medidas, como ajustar la resolución de la imagen a lo mínimo necesario, para evitar que las personas sean reconocibles, o grabar desde mayores distancias, aplicar técnicas de anonimización de imágenes (bien durante la captura o en la posproducción de las grabaciones), incluir mecanismos de cifrado en el propio dron y su unidad de almacenamiento, etc.
• Evitar el tratamiento de otro tipo de datos personales aparte de la imagen.
• Evitar almacenar información personal innecesaria, es decir, no conservar aquellas imágenes que contengan datos personales que no sean necesarios para la actividad que estemos desempeñando.
• No difundir ni publicar las imágenes captadas por el dron en las que puedan aparecer personas reconocibles.

Actividades con drones cuya finalidad es el tratamiento de datos personales

En el caso de actividades con drones cuya finalidad implique o sea el tratamiento de datos personales, como son la vigilancia con drones o la grabación de eventos con estos aparatos, el RGPD y la LOPDGDD son de aplicación siempre.

Esto implica las siguientes obligaciones:

• Realizar el análisis de riesgos para los derechos y libertades de los interesados, que puedan derivarse del tratamiento (es decir, de la grabación de imágenes con el dron).
• Establecer las medidas de seguridad técnicas y organizativas necesarias para garantizar la confidencialidad, integridad y disponibilidad de los datos captados con el dron.
• Realizar el registro de actividades de tratamiento, especificando la información relativa al tratamiento realizado con el dron:
  • Identidad del responsable del tratamiento y, en su caso, del encargado del tratamiento.
  • Base legitimadora (en la mayoría de los casos será el consentimiento expreso o el interés legítimo del responsable).
  • Finalidad del tratamiento.
  • Categorías de datos e interesados.
  • Categorías de destinatarios de los datos.
  • En su caso, trasferencias internacionales de datos y sus garantías.
  • Plazo de conservación (recordamos que para imágenes de videovigilancia, el plazo es de 30 días).
  • Medidas de seguridad adoptadas.
• Informar a los interesados a través de los medios que resulten más adecuados de:
  • Identidad del responsable del tratamiento y, en su caso, del encargado del tratamiento y el Delegado de Protección de Datos.
  • Finalidad del tratamiento.
  • Base legitimadora del tratamiento.
  • Cesión de datos a terceros.
  • En su caso, trasferencias internacionales de datos.
  • Plazo de conservación de los datos.
  • Vías para ejercer sus derechos ARSULIPO (acceso, rectificación, supresión, limitación y portabilidad).
  • Su derecho a reclamar ante la AEPD.
• En su caso, firmar acuerdos de confidencialidad con los empleados.
• En su caso, firmar el contrato de encargo del tratamiento.
• Si se producen, notificar las brechas de seguridad que puedan suponer un riesgo para los derechos y libertades de los interesados a la AEPD y los propios interesados, en un plazo no superior a 72 horas.

Es posible que no tengamos claro cuál es el rol del operador del dron, es decir, si es el responsable o el encargado del tratamiento. De manera que:

• Cuando el operador del dron realice una actividad encargada por un tercero, el operador será el encargado del tratamiento, mientras que el tercero será el responsable del tratamiento, puesto que es quién decide la finalidad del tratamiento y otras condiciones relacionadas. Esta relación deberá quedar recogida en un contrato de protección de datos o de encargo de tratamiento firmado por ambas partes. Por ejemplo, si una empresa de eventos contrata a un operador de drones para grabar un concierto, el responsable será la empresa de eventos y el encargo el operador.
• Si el operador del dron no realiza la actividad por cuenta de un tercero, será el responsable del tratamiento, teniendo que cumplir con las obligaciones citadas más arriba. Es el caso, por ejemplo, de una empresa de agricultura que use ella misma (a través de uno de sus empleados) un dron para supervisar las áreas de cultivo.

Así mismo, también se recomienda hacer los drones lo más visibles e inidentificables posible, con características asociadas al responsable y haciendo que el operador también sea visible e identificable (en su caso, se tendrán en cuenta los requisitos de identificación y matriculación a los que se refieren los artículos 8, 9 y 10 del Real Decreto 1036/2017).

En cuanto a la videovigilancia con drones, cabe recordar que esta solo puede realizarse dentro de áreas particulares, puesto que la vía pública solo puede ser grabada por las Fuerzas y Cuerpos de Seguridad del Estado, quienes también estarán sujetas a cumplir con la normativa de protección de datos, si emplean estos dispositivos en tareas de videovigilancia.

Consideraciones para actividades que no supongan un tratamiento de datos personales

Finalmente, aquellas actividades con drones que no supongan un tratamiento de datos personales, como en las que se entiende un uso particular y doméstico (por ejemplo, grabación de eventos familiares, competiciones de drones a los que se haya podido montar una cámara, filmación particular con drones, etc.), no requieren cumplir con el RGPD y la LOPDGDD, pero sí tener en cuenta que las imágenes en las que hayamos podido captar personas u otros objetivos que permitan la identificación de personas (como matrículas o viviendas), no deben publicarse o difundirse, salvo que se cuente con el consentimiento expreso de quienes aparecen en ellas o esas personas y elementos se hayan difuminado debidamente.

Tabla resumen sobre el uso drones y RGPD

 

Esperamos haber resuelto vuestras dudas respecto al uso de drones y el RGPD, y si vuestro uso de drones os convierte en responsable o encargado del tratamiento y no tenéis claro cómo cumplir con todas las obligaciones descritas en este artículo, no dudéis en poneros en contacto con Grupo Atico34 y nuestro equipo de profesionales os ayudará a cumplir con la ley.