Drones, RGPD y privacidad

Los drones son una herramienta excelente para la adquisición de datos, pero algunas misiones pueden suscitar preguntas o dudas sobre la privacidad y el RGPD.

Por lo tanto, ¿cómo puede tu organización adquirir la información que necesita sin infringir los requisitos de protección de datos?

Aunque este espinoso tema no debe verse como un obstáculo para la construcción y el crecimiento de un programa UAS, es importante garantizar que se respeten los derechos de protección de datos y que se mitiguen las posibles infracciones.

Cada vuelo debería evaluarse caso por caso, pero una planificación adecuada y el desarrollo de una gobernanza, supervisión y controles pertinentes son una parte fundamental del desarrollo de una estrategia sólida de RGPD.

Dicho plan tendrá en cuenta aspectos como el propósito del vuelo, la ubicación y el tipo de sensores utilizados, mientras que los métodos de mitigación incluyen el almacenamiento correcto de los datos, la provisión de información sobre privacidad y la adquisición únicamente de la información específica que necesitas.

Este blog analiza en profundidad la privacidad y el RGPD, proporciona ejemplos de escenarios específicos y explica cómo tu organización puede tomar medidas para implementar un protocolo de protección de datos, incluida la creación de evaluaciones de impacto sobre la protección de datos.

Privacidad y protección de datos

Si tu dron está equipado con una cámara de vídeo o un dispositivo de escucha, debes respetar la privacidad de otras personas cada vez que los utilices.

Al fin y al cabo, la privacidad y la protección de datos son dos derechos distintos consagrados por el derecho de la UE en el artículo 7 y el artículo 8 de la Carta de los Derechos Fundamentales.

Artículo 7 – El derecho a la privacidad

Toda persona tiene derecho al respeto de su vida privada y familiar, de su domicilio y de sus comunicaciones.

Esto significa que la implementación de sensores en drones en áreas que dan a viviendas o áreas donde las personas esperan disfrutar de privacidad debe planificarse cuidadosamente y mitigar los riesgos.

Artículo 8 – Derecho a la protección de datos

Toda persona tiene derecho a la protección de los datos de carácter personal que la conciernan.
Dichos datos deben tratarse de modo leal, para fines concretos y sobre la base del consentimiento de la persona afectada o en virtud de otro fundamento legítimo previsto por la ley. Toda persona tiene derecho a acceder a los datos recogidos que la conciernan y a obtener su rectificación.
El respeto de estas normas estará sujeto al control de una autoridad independiente.

Esto significa que cuando una organización obtiene y procesa los datos personales de un individuo vivo, debe hacerlo para fines específicos con una base jurídica clara. Este derecho se hace efectivo a través de leyes como el Reglamento General de Protección de Datos (RGPD) y la Ley de Protección de Datos de 2018.

Datos personales

Entonces, ¿qué son los datos personales?

El RGPD los define como cualquier información relativa a una persona física identificada o identificable.

En el contexto del uso de drones, los datos personales incluyen:

• Se registra una imagen clara del rostro de una persona.
• Un individuo puede ser identificado de otra manera, por ejemplo, a través de la ubicación GPS, la dirección visible, la matrícula del coche y los objetos personales, incluida la ropa.
• Información sobre la vida privada de un individuo.
• El comportamiento y las características físicas se revelan a través de grabaciones o imágenes.
• Se realizan grabaciones de la voz o de la conversación de un individuo.
• Se puede identificar la firma térmica de una persona, revelando su comportamiento.
• Se graban imágenes íntimas que exponen la vida doméstica.

También es importante considerar el riesgo de adquirir datos de categorías especiales, que:

• Pueden revelar el origen racial o étnico; opiniones políticas; creencias religiosas o filosóficas; afiliación sindical.
• Son datos genéticos o datos biométricos.
• Se refieren a la salud de un individuo o a su historia u orientación sexual.

Consideraciones clave para la protección de datos

Como sugiere lo anterior, hay mucho que considerar cuando se trata de gestionar el uso de drones y la privacidad, y cumplir con el RGPD.

Por lo tanto, la creación e implementación de una política de protección de datos/privacidad es un enfoque multifacético y cada caso debe juzgarse según sus méritos.

En muchos aspectos, este flujo de trabajo sigue un ciclo de vida de tres fases:

1. Adquisición
2. Análisis
3. Acción

Las preguntas clave para cada fase se enumeran en la siguiente tabla:

Fase del ciclo de vida	Cuestiones a considerar
Adquisición	• ¿Qué tipos de datos recopilarás y cuál es el contexto del vuelo? • ¿Qué tipos de sensores estás utilizando? • ¿Dónde operarás? • ¿Puedes justificar que un dron fue la mejor solución de adquisición de datos? • ¿Cómo minimizarás los datos relacionados con personas que recopilarás o evitarás por completo recopilar dichos datos?
Análisis	• ¿Cómo se analizarán los datos? ¿Utilizarás herramientas de inteligencia artificial como reconocimiento facial o detección de eventos? • ¿Quién más podría querer utilizar estos datos para otros casos de uso?
Acción	• ¿Qué se hará con los datos recopilados por los sensores montados en los drones? ¿Dicha acción afectará/tendrá un impacto en los individuos? • ¿Cómo/cuándo eliminarás los datos personales que ya no necesitas? • ¿Cómo mantendrás estos datos seguros?

Cómo puede influir tu sensor de dron en la privacidad

Comprender la carga útil de tu dron y cómo sus capacidades podrían influir en la privacidad y el RGPD es uno de los factores clave para el desarrollo de una política hermética.

Saber esto ayudará a reducir el riesgo de tomar fotos, grabar vídeos o capturar partes de audio que invadan la privacidad o afecten al RGPD.

Asegúrate de conocer y considerar aspectos como:

• ¿Qué calidad puede grabar tu cámara?
• ¿Es necesaria la resolución de la cámara para el propósito?
• ¿Hasta dónde puede hacer zoom tu cámara?
• ¿Puedes iniciar y detener la grabación bajo demanda durante un vuelo?
• ¿Puedes limitar el campo de visión para minimizar las áreas potencialmente invasivas?
• Si estás recopilando datos térmicos, por ejemplo, ¿se puede apagar la cámara visual?

Además de la carga útil, también es importante comprender la duración de la batería y la autonomía del dron, ya que el dron podría volar a una altitud o en un radio que corra el riesgo de adquirir más datos personales secundarios de lo previsto. Esto es especialmente cierto para las operaciones EVLOS/BVLOS, por ejemplo, si se utiliza el dron DJI Dock en una caja de forma remota y/o más allá de la línea de visión.

RGPD y privacidad: evaluaciones basadas en escenarios

Conocer las capacidades de tu sensor es importante, pero este es solo un aspecto de la matriz de protección de datos/privacidad.

También es sumamente relevante comprender el escenario de despliegue.

Al fin y al cabo, podría haber circunstancias o aspectos del uso propuesto del dron que no impliquen problemas de protección de datos o privacidad, pero es necesario considerar esto y evaluar los problemas y riesgos por si acaso.

Si tus sensores recopilan datos que no identifican a las personas ni invaden su privacidad, es probable que no haya riesgos para la protección de datos.

En este escenario, aun así vale la pena documentar tu evaluación y el razonamiento posterior para concluir que no existen riesgos para los datos. Esto debe compartirse con el responsable de protección de datos pertinente, si tu organización tiene uno.

Sin embargo, si tus sensores recopilarán datos que podrían identificar a las personas, deberás realizar una evaluación de riesgos basada en escenarios para decidir cómo puede completarse la misión sin problemas o tomar medidas para abordar estas posibles infracciones. Las estrategias de mitigación se discutirán más adelante en este blog.

Esta evaluación debe seguir un enfoque estructurado y metódico, con las políticas, procedimientos y listas de verificación pertinentes que equilibren los riesgos con el escenario específico y los métodos de mitigación.

Las organizaciones deben mantener un registro de todas las actividades de procesamiento de datos relacionadas con los drones, incluido el propósito de la recopilación de datos, las categorías de datos recopilados y las medidas adoptadas para proteger los datos personales.

¿Necesitas una EIPD para la captura de imágenes aéreas?

Si se señalan posibles problemas de privacidad/RGPD como parte de los preparativos previos al vuelo, es prudente, o incluso obligatorio, crear una EIPD (Evaluación de Impacto de la Protección de Datos).

Una EIPD es un proceso que las organizaciones pueden utilizar para identificar y mitigar los riesgos para la protección de datos asociados con un proyecto en particular, y es una herramienta utilizada para garantizar el cumplimiento de las normas del RGPD en materia de protección de datos.

Una EIPD normalmente:

• Describe la naturaleza, el alcance, el contexto y los fines del procesamiento;
• Evalúa las medidas de necesidad, proporcionalidad y cumplimiento;
• Identifica y evalúa los riesgos para las personas;
• Identifica cualquier medida adicional para mitigar dichos riesgos.

El resultado de una evaluación de impacto sobre la protección de datos debe incluir un informe que documente lo anterior. Esto puede utilizarse para demostrar el cumplimiento de las normas de protección de datos del RGPD y para proporcionar evidencia de diligencia debida en caso de un incidente de protección de datos.

Cada EIPD debe guardarse para permitirte utilizar las existentes en trabajos futuros implementando salvaguardias predefinidas y mitigaciones de riesgos, o destacando si un nuevo trabajo supera el alcance de las EIPD existentes y se requiere una nueva.

El desarrollo de una biblioteca de EIPD también puede mejorar la transparencia mediante la publicación de información sobre las operaciones planificadas y es prueba de que has considerado los riesgos y estás tomando medidas para combatir estos problemas.

También es una buena práctica realizar una revisión después de la acción para identificar cualquier mejora en los procesos o salvaguardias que podría considerarse.

Para obtener más información sobre las EIPD, visita el sitio web de la Oficina del Comisionado de Información.

Privacidad y RGPD: métodos de mitigación

Si la protección de datos es un problema, es fundamental que se implementen procesos de mitigación.

A continuación, se ofrecen algunos de los mejores consejos para ayudarte a mantenerte en el lado correcto de las normas de privacidad/RGPD.

Comprende tu sistema de grabación

Ya hemos hablado de esto, pero es importante conocer las capacidades de tu carga útil.

También es importante poder encender y apagar cualquier sistema de grabación, cuando sea apropiado.

A menos que sea necesario y proporcionado, la grabación no debería ser continua.

Limitar la recopilación de datos: solo datos relevantes

Las organizaciones deben recopilar solo los datos necesarios para el propósito específico para el cual se utiliza el dron. Esto incluye el tipo de datos y la duración por la cual se recopilan los datos.

Para limitar los datos, se podría implementar geofencing en el dron para garantizar que la tecnología se limite a áreas operativas específicas.

Almacenar los datos de forma segura y no más tiempo del necesario

Asegúrate de que todos los datos recopilados se almacenen de forma segura y protegidos contra accesos no autorizados, alteraciones o destrucción. Esto incluye medidas como cifrado, firewalls y controles de acceso.

Conserva los datos durante el menor tiempo posible para su propósito y elimínalos de forma adecuada cuando ya no los necesites.

Sé transparente

Las organizaciones deben ser transparentes sobre los datos que recopilan, procesan y almacenan, y proporcionar a las personas información sobre sus derechos, incluido el derecho a acceder, rectificar y eliminar sus datos personales.

Si un individuo solicita acceso a los datos que has recopilado sobre él utilizando un dron o si solicita que se eliminen los datos, deberás responder a su solicitud de acuerdo con las normas del RGPD.

Esto podría incluir proporcionarles una copia de los datos que has recopilado o garantizar que los datos se eliminen de tus sistemas de manera oportuna.

Proporcionar información sobre privacidad

Un problema clave del uso de drones es que, en muchas ocasiones, es poco probable que las personas se den cuenta de que están siendo grabadas o que puedan identificar quién tiene el control. Si usted es un responsable del tratamiento, debe enfrentarse al desafío de proporcionar información sobre privacidad si decide comprar y utilizar dichos sistemas.

La siguiente tabla proporciona un resumen de la información que debe facilitar.

¿Qué información debemos facilitar?	Datos personales recabados de los individuos	Datos personales obtenidos de otras fuentes
El nombre y los datos de contacto de su organización	✓	✓
El nombre y los datos de contacto de su representante	✓	✓
Los datos de contacto del delegado de protección de datos	✓	✓
Los fines del tratamiento	✓	✓
La base jurídica del tratamiento	✓	✓
Los intereses legítimos del tratamiento	✓	✓
Las categorías de datos personales obtenidos		✓
Los destinatarios o las categorías de destinatarios de los datos personales	✓	✓
Los detalles de las transferencias de datos personales a terceros países u organizaciones internacionales	✓	✓
Los plazos de conservación de los datos personales	✓	✓
Los derechos disponibles para las personas en relación con el tratamiento	✓	✓
El derecho a retirar el consentimiento	✓	✓
El derecho a presentar una reclamación ante una autoridad de control	✓	✓
La fuente de los datos personales		✓
Los detalles sobre la existencia de una obligación legal o contractual de facilitar los datos personales	✓
Los detalles sobre la existencia de decisiones automatizadas, incluida la elaboración de perfiles	✓	✓

Debe encontrar formas innovadoras de proporcionar esta información a las personas cuya información se registra y ser capaz de justificar su enfoque.

O, si hacerlo es muy difícil o requeriría un esfuerzo desproporcionado, documente esta información de manera que esté fácilmente disponible.

Algunos ejemplos podrían incluir:

• Registrar formalmente su dron ante la Autoridad de Aviación Civil (CAA);
• Tener una política de privacidad en un sitio web al que se pueda dirigir a las personas o alguna otra forma de aviso de privacidad, para que las personas puedan acceder a información adicional.

Visibilidad

Asegúrese de que se le vea claramente cuando esté en vuelo. Esto significa que las personas sabrán quién es el responsable de su dron.

Las personas también deben ser conscientes de quién está utilizando el dron, cuándo, cómo y para qué fin. Colocar señalización en el área donde se utiliza un dron explicando su uso puede ayudar en esto.

Esto les permite ajustar sus expectativas de privacidad, estar preparados y mantener el control sobre su privacidad actuando en consecuencia.

Siempre que sea posible, obtenga el consentimiento antes de recopilar datos personales con un dron. Esto se puede hacer a través de un acuerdo escrito o verbal.

Difuminado

Como parte de los procedimientos operativos, todos los datos identificables recopilados inadvertidamente, como matrículas de automóviles, números de casas y rostros, deben hacerse anónimos (difuminados) para garantizar el cumplimiento del RGPD.

Formar al personal

Las organizaciones deben asegurarse de que el personal involucrado en las operaciones con drones esté formado sobre las leyes y reglamentos de protección de datos y sobre cómo tratar los datos personales de acuerdo con dichas leyes.

Piense antes de compartir fotos y vídeos

Evite compartir cualquier cosa que pueda ser injusta o perjudicial para alguien.

Piense detenidamente en quién podría ver sus fotos y vídeos, especialmente antes de publicarlos en las redes sociales. Aplique el mismo enfoque de sentido común que tendría con imágenes o vídeos grabados en un teléfono inteligente o una cámara digital.

Realizar evaluaciones de riesgo periódicas

Las organizaciones deben realizar evaluaciones de riesgo periódicas para identificar posibles vulnerabilidades y amenazas a los datos personales. Esto incluye la evaluación del riesgo de violación de datos y de acceso no autorizado.

Actuar rápidamente en caso de violación de datos

Notificar a la autoridad de control: en caso de violación de datos, las organizaciones deben informar a la autoridad de control de la violación de datos sin dilación indebida y, cuando sea posible, a más tardar 72 horas después de tener constancia de ello.

Escenarios de ejemplo del RGPD

Estos ejemplos son específicos del escenario y muestran las medidas adoptadas para garantizar el cumplimiento de posibles problemas de protección de datos.

Ejemplo uno

Un topógrafo utiliza un dron en una zona residencial para inspeccionar los daños en un tejado. El topógrafo desea utilizar un dron porque las imágenes de alta resolución permiten una forma de trabajar más segura y económica.

En consonancia con los principios de la ley de protección de datos, el topógrafo realiza una evaluación basada en el riesgo antes del despliegue. Evalúan cómo pilotar el dron de manera que no afecte a los derechos y libertades de las personas. Para evitar grabaciones involuntarias de los residentes, el topógrafo comienza a grabar solo a gran altura y no registra ninguna otra propiedad privada, centrándose especialmente en el tejado.

El topógrafo también garantiza que, siempre que sea posible, proporcionen a las personas enlaces a su información de privacidad o al sitio web mediante señalización temporal, y que todos los operadores estén totalmente formados y registrados de acuerdo con los requisitos de la Autoridad de Aviación Civil (CAA).

Ejemplo dos

Una autoridad local desea desplegar un dron sobre una localidad costera para vigilar las playas públicas para el movimiento de multitudes y el abandono de residuos. Naturalmente, los visitantes de las playas no pueden esperar razonablemente ser grabados, especialmente si están nadando, tomando el sol o si hay niños presentes.

La autoridad local debe proporcionar una justificación sólida para cualquier grabación, basada en la sensibilidad del tratamiento. Deberían adoptar un enfoque basado en el riesgo realizando una EIPD antes de utilizar la tecnología. Esto ayudará a evaluar la necesidad y la proporcionalidad.

Si la grabación se realiza de forma conforme con los derechos de los individuos y las normas de aviación, la autoridad local está obligada a facilitar al público la información adecuada sobre la grabación. También deben incluir información sobre quién es el responsable, cómo contactar con él y cómo pueden ejercer sus derechos los ciudadanos si es necesario.

Ejemplo tres

Se ha programado un vuelo de dron para capturar imágenes de vídeo de un evento comunitario de concienciación sobre los residuos. También hay una notificación de un brote de una especie vegetal invasora en la zona donde operará el dron y es necesaria una inspección para evaluar la magnitud del problema.

Las imágenes grabadas apoyarán, por tanto, los objetivos en dos categorías de casos de uso. Sin embargo, el procesamiento de imágenes de personas no sería necesario para el caso de uso de vigilancia medioambiental.

Por lo tanto, la operación del dron deberá planificarse para grabar las imágenes del evento comunitario y luego realizar un paso de inspección independiente con las personas excluidas del área donde está operando el dron.

Ejemplo cuatro

Se propone un espectáculo de luces utilizando drones que vuelan en una formación preprogramada que será similar a un espectáculo de fuegos artificiales. Los sensores que se utilizarán para este fin serán el GPS y los sensores de control de vuelo y de proximidad de los drones. No habrá sensores ópticos desplegados en estos drones.

La evaluación en este punto de decisión es que no existe riesgo para la protección de datos o la privacidad, ya que no se utilizan sensores ópticos. Esto se documenta como parte de la planificación para el espectáculo y se envía una copia al delegado de protección de datos de la autoridad local para su referencia.

Resumen

La privacidad y la protección de datos no deberían hacer descarrilar las operaciones con drones, pero son cuestiones serias que deben tenerse en cuenta.

Es absolutamente esencial que los drones y sus sensores se utilicen de manera responsable y que los datos posteriores se traten de forma correcta y proporcionada.

La integración eficaz y eficiente de las políticas de protección de datos requiere un enfoque estratégico y estructurado a través de una planificación y un desarrollo adecuados para garantizar que existan procedimientos para mitigar cualquier riesgo y respetar los derechos de protección de datos.

Ser proactivo en lugar de reactivo, anticipándose y previniendo los eventos invasivos antes de que ocurran, es un buen enfoque a seguir.

Contar con estos procedimientos sólidos garantiza que su programa de drones pueda prosperar y que pueda recopilar los datos que necesita, actuando de forma responsable, legal y conforme.