Cómo preparar la documentación de anonimización de grabaciones para un auditor RGPD: modelo de informe y registro

TL;DR: Para un auditor RGPD, un archivo anonimizado por sí solo no basta: lo importante es la documentación que demuestre quién tomó la decisión, cuál era el objetivo de la publicación, qué se difuminó, qué no y con qué fundamento. Se necesitan dos documentos: un informe de anonimización para cada material concreto y un registro de anonimización consolidado, ambos gestionados por el responsable del tratamiento. Una herramienta como Gallio PRO realiza la anonimización -automáticamente de rostros y matrículas, y el resto de elementos de forma manual en el editor-, pero no sustituye al registro de cumplimiento. A continuación encontrarás modelos listos para copiar.

La anonimización de datos visuales consiste en limitar de forma permanente la posibilidad de identificar a personas y vehículos en fotografías y grabaciones antes de su publicación; en la práctica, suele tratarse de face blurring y license plate blurring, es decir, difuminado de rostros y difuminado de matrículas. Para un auditor, no basta con haber utilizado una herramienta. La documentación suele ser el eslabón más débil: una organización puede tener materiales correctamente preparados, pero sin un registro y un informe no podrá demostrar la responsabilidad proactiva exigida por el art. 5.2 del RGPD [1]. Este artículo se centra exclusivamente en el conjunto de evidencias que espera un auditor y en un modelo de registro de anonimización.

¿Qué comprueba un auditor RGPD al publicar fotos y vídeos?

Un auditor normalmente no empieza preguntando por las funciones del programa, sino por si el responsable del tratamiento puede demostrar que la decisión de publicar cumple los principios de licitud, minimización de datos y responsabilidad proactiva [1]. En el caso de materiales visuales, esto implica tres niveles de control.

Primer nivel: la base de publicación. Si en el material aparece una persona reconocible, las organizaciones suelen apoyarse en el consentimiento, el interés legítimo o en excepciones relativas a la difusión de la imagen. La obligación de anonimizar rostros no deriva automáticamente de una única norma, sino de la evaluación de la base del tratamiento y del riesgo de vulneración de los derechos de la persona, teniendo en cuenta el RGPD, el Código Civil y la normativa sobre propiedad intelectual aplicable. La legislación sobre derechos de autor prevé excepciones al requisito de autorización para difundir la imagen, especialmente cuando: (1) se trata de una persona de notoriedad pública y la imagen se captó en relación con el ejercicio de funciones públicas; (2) la persona constituye solo un detalle dentro de un conjunto, como una reunión, un paisaje o un acto público; (3) la persona recibió una remuneración pactada por posar y no dispuso lo contrario. Cada excepción debe describirse en la documentación, no presumirse de forma automática.

Segundo nivel: el alcance de la anonimización. El auditor comprueba si la organización ha definido qué categorías de elementos visuales deben ocultarse. En Gallio PRO, la detección automática cubre únicamente rostros y matrículas. La herramienta no difumina cuerpos completos, no realiza anonimización en tiempo real ni anonimización de flujos de vídeo, y tampoco detecta automáticamente logotipos de empresas, tatuajes, placas con nombres, documentos o contenido visible en pantallas de ordenador. Estos elementos pueden difuminarse manualmente en el editor, algo que debe reflejarse en el informe de tratamiento.

Tercer nivel: las evidencias de ejecución. El auditor espera una trazabilidad de la decisión: hay que demostrar que el material fue revisado, no simplemente procesado por una herramienta. Esto es especialmente importante en fotografías de eventos, materiales promocionales, vídeos grabados en espacios públicos y grabaciones en las que aparecen vehículos.

¿Por qué el archivo anonimizado no basta como prueba?

En una auditoría RGPD no solo cuenta el resultado final, sino también la posibilidad de reconstruir el proceso de decisión. Un archivo con elementos difuminados muestra el resultado, pero no responde a preguntas clave: quién aprobó la publicación, cuál era la base jurídica, si se verificaron las excepciones relativas a la imagen, si se realizó una revisión manual y si se valoró el riesgo de reidentificación.

Por eso, una buena práctica consiste en preparar dos documentos: un informe de anonimización del material concreto y un registro de anonimización que ordene todas las operaciones en el tiempo. El registro debe gestionarlo el responsable del tratamiento. Esto tiene valor probatorio: Gallio PRO no sustituye al registro de cumplimiento ni documenta por sí mismo la base de publicación, las excepciones sobre el uso de la imagen o las decisiones del responsable; el registro se crea y mantiene del lado del responsable del tratamiento.

¿Cómo debe ser la documentación de anonimización de grabaciones para un auditor?

El modelo que mejor funciona suele ser sencillo: un informe por material y un registro consolidado. El informe sirve para evaluar una fotografía, un conjunto de imágenes o un archivo de vídeo concretos. El registro permite al auditor revisar rápidamente todas las publicaciones de un periodo determinado.

Modelo de informe de anonimización: campos listos para copiar

El informe debe ser lo más simple posible. En la práctica, conviene incluir los siguientes campos:

• Identificador del informe: número único vinculado al registro.
• Fecha de evaluación del material: día de la revisión previa a la publicación.
• Persona responsable de la evaluación: nombre y apellidos o función profesional.
• Descripción del material visual: por ejemplo, “vídeo promocional de un evento municipal, 2 min 15 s” o “galería de 12 fotos de una conferencia”.
• Finalidad de la publicación: por ejemplo, marketing, relaciones públicas, información pública o cobertura de un evento.
• Lugar previsto de publicación: sitio web, redes sociales, canal de vídeo o intranet.
• Base de publicación o excepción: consentimiento, interés legítimo, persona de notoriedad pública, detalle de un conjunto, remuneración pactada por posar.
• Resultado de la revisión automática: indicación de que la detección automática cubrió rostros y matrículas.
• Resultado de la revisión manual: si se difuminaron manualmente otros elementos, como un documento sobre una mesa o el contenido de un monitor.
• Alcance de la anonimización aplicada: número de rostros, número de matrículas y alcance de las correcciones manuales.
• Evaluación del riesgo de reidentificación: nota breve sobre si, tras la anonimización, el material aún podría permitir la identificación.
• Decisión de publicación: publicación, publicación tras correcciones o suspensión de la publicación.
• Fecha de aprobación: día de la aceptación final.
• Observaciones de auditoría: campo para anotaciones del DPO o del área de cumplimiento.

Cada campo tiene valor probatorio. El identificador y la fecha crean una pista de auditoría; la descripción del material y la finalidad de publicación aportan contexto; el campo de base jurídica o excepción demuestra que la decisión no fue casual. La sección sobre la revisión manual es especialmente importante, porque la detección automática no cubre todas las categorías de información visibles en el encuadre.

Modelo de registro de anonimización: estructura que un auditor realmente busca

El registro debe ser consolidado, estar actualizado y ser fácil de filtrar. Lo más práctico es utilizar una hoja de cálculo o un sistema de registro con las siguientes columnas:

Este registro no debe construirse a partir de los registros técnicos de la herramienta, sino a partir de las decisiones del responsable del tratamiento. Si la organización utiliza una solución instalada localmente como software on-premise, resulta más sencillo describir el control sobre el entorno y el acceso al material. En casos más complejos -especialmente en entornos corporativos, configuraciones on-premise o requisitos de cumplimiento específicos- conviene ponerse en contacto para acordar un modelo de trabajo adecuado para el caso concreto de compliance.

Flujo de trabajo recomendado: del material a la entrada en el registro, paso a paso

1. Identifica el material y la finalidad de publicación, y asigna una persona responsable de la evaluación.
2. Importa el material en Gallio PRO y ejecuta la detección automática: Gallio PRO difumina rostros y matrículas, que son los dos únicos elementos detectados automáticamente. Gallio PRO trabaja con archivos, no con transmisión en directo.
3. Realiza una revisión manual y oculta en el editor integrado los elementos que no se detectan automáticamente -documentos, pantallas, placas identificativas, tatuajes o logotipos- si aparecen en el material.
4. Completa el informe de anonimización: base o excepción, resultado de la revisión automática y manual, alcance de la anonimización y evaluación del riesgo de reidentificación.
5. Añade una entrada al registro, gestionado por el responsable del tratamiento, y vincúlala con el identificador del informe.
6. Aprueba la decisión de publicación y publica únicamente el archivo final validado. Gallio PRO no sustituye al registro de cumplimiento ni guarda logs con datos personales.

Si quieres comprobar este flujo con tus propios materiales, puedes descargar la versión de demostración y crear desde el principio tu propio registro del lado del responsable del tratamiento.

¿Cómo describir rostros y matrículas en la documentación?

No conviene utilizar fórmulas genéricas como “se anonimizaron los datos personales”. El auditor espera precisión. Es preferible una redacción como: “se aplicó difuminado de rostros a las personas reconocibles y difuminado de matrículas a las matrículas visibles en el material”.

En relación con las matrículas, merece la pena describir la lógica de cumplimiento adoptada. En la práctica europea, difuminarlas antes de la publicación suele tratarse como una medida de precaución, aunque la evaluación depende del contexto y de la normativa nacional. En Polonia, la situación no es inequívoca: parte de la jurisprudencia y de la práctica considera que un número de matrícula puede constituir un dato personal si permite identificar a una persona por medios razonablemente probables, mientras que en otros casos se ha señalado que una matrícula por sí sola no siempre identifica a una persona física. En la documentación conviene dejar constancia de que la organización adopta un modelo prudente de publicación y aplica el difuminado de matrículas como práctica de cumplimiento. Esto no es asesoramiento jurídico, sino un enfoque habitual para reducir riesgos.

¿Cómo demostrar que la revisión fue completa sin generar burocracia excesiva?

La mejor documentación es breve, pero verificable. Para el auditor, lo importante es poder seguir el material desde la decisión hasta la publicación. Por eso, en cada informe bastan tres pasos: (1) identificación del material y de la finalidad de publicación; (2) indicación de qué elementos fueron objeto de reconocimiento automático y cuáles requirieron corrección manual; (3) aprobación final con justificación.

Durante las pruebas, merece la pena crear de inmediato el registro propio del responsable del tratamiento, porque la herramienta por sí sola no cumple la función de registro de cumplimiento.

Deficiencias más frecuentes detectadas en una auditoría

El problema más habitual no es la falta de anonimización, sino la ausencia de una descripción de las excepciones relativas a la imagen. Las organizaciones publican fotografías de eventos asumiendo que una escena amplia siempre exime de una evaluación adicional, y esto puede ser una interpretación demasiado amplia: si el encuadre destaca a una persona concreta, la mera presencia de una multitud no resuelve el problema. La segunda deficiencia frecuente es omitir la revisión manual: si la detección automática cubre únicamente rostros y matrículas, pueden quedar en el material otros elementos que permitan la identificación. La tercera es la falta de asignación de responsabilidad: el auditor debe ver quién evaluó el material y quién autorizó su publicación.

¿Cómo describir la herramienta en la documentación de auditoría?

La descripción de la herramienta debe ser precisa y prudente. Conviene indicar que se utiliza software on-premise para la anonimización de datos visuales en fotografías y grabaciones, que difumina automáticamente solo rostros y matrículas, y que el resto de elementos pueden ocultarse manualmente en el editor. No deben declararse funciones que el software no tiene. En el caso de Gallio PRO, es especialmente importante señalar que no difumina cuerpos completos, no funciona en tiempo real y no sustituye al registro de cumplimiento gestionado por el responsable del tratamiento. Esta descripción resulta más fiable que los atajos de marketing: los auditores valoran límites de responsabilidad claros. La herramienta apoya la anonimización del material, pero la decisión de publicación y la obligación de mantener el registro corresponden al responsable del tratamiento.

FAQ: documentación de anonimización de grabaciones para un auditor RGPD

¿Un auditor RGPD exige un registro independiente de anonimización de fotos y vídeos?

No siempre se deriva expresamente de una norma, pero es una práctica de cumplimiento frecuente y razonable. El registro facilita demostrar la responsabilidad proactiva, la finalidad de publicación, el alcance del difuminado y la persona que aprobó el material.

¿Debe elaborarse un informe de anonimización para cada fotografía individual?

Depende de la escala y del riesgo. En la práctica, los materiales pueden agruparse en conjuntos lógicos, por ejemplo una galería de un mismo evento, siempre que la descripción sea clara y verificable.

¿Basta con indicar que el material pasó por un programa de difuminado?

No. El auditor suele esperar evidencias de revisión, alcance de la anonimización, base de publicación y decisión final. El mero uso de una herramienta no agota las obligaciones del responsable del tratamiento.

¿Siempre hay que difuminar las matrículas antes de publicar?

No siempre puede formularse como una obligación absoluta. En la práctica, muchas organizaciones adoptan un enfoque prudente y difuminan las matrículas para reducir riesgos, especialmente en publicaciones accesibles al público.

¿Gallio PRO mantiene un registro de anonimización para auditorías?

No. El registro debe mantenerlo el responsable del tratamiento. Esto es coherente con el principio de que la herramienta no sustituye la documentación de cumplimiento ni las decisiones de publicación adoptadas por el responsable.

¿La herramienta detecta automáticamente todos los elementos sensibles del encuadre?

No. La detección automática cubre únicamente rostros y matrículas. Logotipos, tatuajes, placas con nombres, documentos y contenido visible en monitores requieren evaluación y, en su caso, difuminado manual.

¿La documentación de anonimización también es necesaria en publicaciones de marketing?

Sí, si la publicación incluye personas reconocibles o vehículos con matrículas visibles. Precisamente en marketing y relaciones públicas es donde con más frecuencia hay que demostrar que la decisión de publicación fue consciente y quedó documentada.

Materiales relacionados

• Anonimización de vídeo con Gallio PRO
• Modelo de procedimiento para la gestión de grabaciones CCTV en una organización
• Checklist para DPO: qué revisar antes de implantar un sistema de videovigilancia en una organización

Texto preparado por el equipo de Gallio PRO: especialistas en protección de datos e ingeniería de vídeo que desarrollan software de anonimización utilizado en seguridad, sector público y medios de comunicación. Este material tiene carácter informativo y no constituye asesoramiento jurídico.

Crea documentación de auditoría desde cero: descarga una demo gratuita de Gallio PRO →