Caso práctico: ¿Se considera un dron una cámara de videovigilancia a efectos de la protección de datos?

PLANTEAMIENTO

Una empresa que se dedica a operar con drones quiere saber si se les ha de dar el mismo tratamiento que a las cámaras de videovigilancia o no, toda vez que en las grabaciones pueden aparecer personas, matrículas de vehículos, etc.

RESPUESTA

Sí, cualquier procedimiento utilizado para recoger imágenes, sonidos, datos de geolocalización, etc., de una persona física identificada o identificable llevado a cabo por un dron determinará la existencia de un tratamiento de datos y, en consecuencia, la aplicación de la normativa de protección de datos.

Para dar respuesta a la cuestión planteada hay que analizar distintos aspectos.

En primer lugar, conviene indicar qué se entiende por dron, y para ello es variada la normativa a la que atender.

Por un lado, la OACI (Organización de la Aviación Civil Internacional) lo define como «sistema de aeronave pilotada a distancia» y, concretamente, como «conjunto de elementos configurables integrado por una aeronave pilotada a distancia, sus estaciones de piloto remoto conexas, los necesarios enlaces de mando y control y cualquier otro elemento de sistema que pueda requerirse en cualquier punto durante la operación de vuelo».

Por otro lado, la Ley 48/1960, de 21 de julio, sobre Navegación Aérea, en su artículo 11, lo define como «b) Cualquier máquina no tripulada que pueda sustentarse en la atmósfera por reacciones del aire que no sean las reacciones de la misma contra la superficie de la tierra y opere o esté diseñada para operar de forma autónoma o para ser pilotada a distancia sin un piloto a bordo».

Dicho esto, la realidad es que un dron es un vehículo aéreo que puede llevar o no, sistemas de procesamiento de información (procesamiento de datos en general) de muy diversos tipos: sistemas de grabación de imagen, sistemas de detección (sensores ópticos o electrónicos, infrarrojos, de humos, etc.), equipos de radiofrecuencia (antenas para capturar emisiones de radio o de wifi), etc. Lo relevante es, entonces, el equipamiento de captación y procesamiento de datos que lleve el dron y su posterior tratamiento.

Además, no hay que olvidar una peculiaridad muy destacable de los drones: en muchos casos, el sujeto afectado desconoce tanto la existencia del dron como el tratamiento de datos. Efectivamente, el dron puede volar y recoger datos sin ser visto.

Por lo anterior, se puede concluir que cuando un dron realiza funciones de captación de imágenes para fines de videovigilancia, le resulta de aplicación el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), lo que implica, entre otras cuestiones:

• Cumplir con el derecho de información del artículo 13.
• Hacer el registro de actividades de tratamiento del artículo 30.
• Adoptar las correspondientes medidas de seguridad en función del análisis de riesgos realizado del artículo 32.

La AEPD como miembro del grupo de trabajo del artículo 29, analizó este tipo de grabaciones por medio de drones en el Dictamen 01/2015, de 16 de junio de 2015, en el que se establece que en estos casos debe tenerse en cuenta:

• La operativa del dron habrá de cumplir con la normativa aplicable.
• Valorar la posibilidad de realizar una Evaluación de Impacto de la Protección de Datos, atendiendo al tipo de dron y la tecnología de captación de datos para el tratamiento. 
• Evitar captar o tratar datos innecesarios a la finalidad pretendida.
• Informar de la forma más apropiada y con carácter previo a los afectados, incluyendo una indicación clara de quién es el responsable y las finalidades del tratamiento, así como las indicaciones claras y específicas para el ejercicio de derechos.
• Establecer medidas de seguridad apropiadas para los riesgos que representan el tratamiento pretendido.
• Borrar y/o anonimizar cualquier dato innecesario.

A lo expuesto se ha referido la AEPD en la Guía sobre el uso de videocámaras para seguridad y otras finalidades.