Protección de Datos Personales drones

En la mayoría de los casos, el uso de UAS implica la captación de datos, fundamentalmente gráficos, por lo que dicha captación está sometida a la legislación sobre protección de datos, entre las obligaciones fundamentales de la operadora estarán:

1. Procurar el consentimiento inequívoco de los afectados de los que se recopilan datos.

2. Notificar cualquier brecha o violación de la seguridad de los datos si la misma afecta a datos personales y cuando la misma constituya un riesgo para los derechos y las libertades de las personas físicas.

3. Dar información a los propietarios de los datos.

   Atención a los derechos solicitados por los afectados (Acceso, Rectificación, Cancelación, Oposición, derecho de limitación de los datos y derecho a la portabilidad de los datos)

Es importante tener en cuenta lo indicado en la Guía de la AGPD sobre “Drones y protección de datos”, en la cual se define diferentes tipos de operaciones en relación con la recopilación de datos personales:

Pulsa sobre la foto para ampliar

1. Operaciones que no incluyen un tratamiento de datos personales

   Tal y como indica la guía, son las menos habituales ya que el uso de un dispositivo de captación de imágenes y un posicionamiento GPS ya implica la captura de datos. También pueden incluirse en esta categoría operaciones en el ámbito recreativo con drones provistos de GPS y cámaras, pero en las que el uso de las imágenes capturadas se restringe al uso doméstico o no permiten en ningún caso la identificación de una persona.

2. Operaciones con riesgo de tratamiento de datos personales de forma colateral o inadvertida

   En muchos casos, aunque no es objetivo de la operación, pueden captarse datos personales de forma inadvertida o inintencionada. Esto puede ocurrir bien porque sea inevitable capturar en segundo plano determinadas imágenes de personas, bien por la captura de otro tipo de información (viviendas próximas, zonas de recreo, vehículos, etc.) o bien por las características concretas de la operación, por ejemplo, la realización de operaciones fuera del alcance visual del piloto.

   Debemos seguir las recomendaciones de la AEPD:

   • Minimizar la presencia de personas y objetos que permitan su identificación (bañistas, matrículas de vehículos, transeúntes, etc.) en el lugar de la operación. Realizando los vuelos en horarios en los que no exista gran afluencia de público o controlando el acceso a la zona de vuelo si fuera posible.

   • Minimizar la captura de imágenes a lo absolutamente necesario, reduciendo las posibilidades de que puedan aparecer personas inadvertidamente en las imágenes, y considerando la posibilidad de no capturar el vuelo completo, sino solo aquellos momentos que sean necesarios. Esta recomendación se puede extender a cualquier tipo de captura de datos.

   • Promover y aplicar características de privacidad desde el diseño, como, por ejemplo, ajustar la resolución de la imagen al mínimo necesario para ejecutar el propósito del tratamiento, reducir la granularidad de la geolocalización con el mismo propósito; aplicar técnicas para anonimizar imágenes (automáticamente durante la captura o procedimientos para hacerlo inmediatamente después) o mecanismos para iniciar y detener la captura de datos en cualquier momento durante la operación; implantar protocolos de comunicaciones seguros que impidan a terceros el acceso a las transmisiones de los datos capturados o incluso al control del propio dispositivo, o incluir mecanismos que permitan el cifrado de los datos capturados y almacenados en el propio dron.

   • Para lugares en los que inevitablemente habrá personas realizar la captura de imágenes de forma que las personas no puedan ser identificadas, por ejemplo, realizando capturas únicamente a distancia suficiente para que la identificación de estas no sea posible.

   • Evitar el tratamiento de otro tipo de datos personales como, por ejemplo, la captura indiscriminada de identificadores de dispositivos móviles.

   • Evitar el almacenamiento de información innecesaria relativa a personas. Por ejemplo, si las imágenes tienen por finalidad un levantamiento topográfico de una zona de costa, carecería de sentido almacenar imágenes que permitan la identificación de los bañistas que se encuentren en dicha zona.

3. Operaciones que tienen por finalidad un tratamiento de datos personales.

   Este es el caso de la videovigilancia, grabación de eventos o cualquier otra aplicación en la que la finalidad de la operación implica el tratamiento de datos personales de forma intrínseca.

   En estas operaciones es de aplicación el RGPD y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, así como lo establecido en la “Guía sobre el uso de videocámaras para seguridad y otras finalidades” de la Agencia Española de Protección de Datos, donde se establecen las limitaciones a la video vigilancia a través de sistemas de cámaras o videocámaras o el seguimiento de identificadores de dispositivos móviles. En particular, se tendrá en cuenta, que la instalación de videocámaras en lugares públicos con fines de seguridad, tanto fijas como móviles, es competencia exclusiva de las Fuerzas y Cuerpos de Seguridad.

   Por otra parte, “GM1 UAS.SPEC.050 (1) (a) (iv) Responsabilidades del operador de UAS” indica que el operador de UAS es responsable de cumplir con las normas nacionales y de la Unión Europea aplicables, en particular con respecto a la privacidad, la protección de datos, la responsabilidad, los seguros, la seguridad y la protección del medio ambiente.