Integración de la anonimización de vídeo con sistemas de alarma y BMS: arquitectura de datos y obligaciones del RGPD

TL;DR: Cuando una grabación procedente de un sistema de alarma o de un BMS va a utilizarse fuera del objetivo inicial de seguridad -por ejemplo, en relaciones públicas, marketing o publicaciones- aparece una nueva fase de tratamiento con obligaciones propias conforme al RGPD. Un modelo seguro consiste en desglosar el flujo en capas: fuente → exportación → anonimización → repositorio → publicación, y definir claramente las funciones del responsable y del encargado del tratamiento. Gallio PRO, como software on-premise, anonimiza justo en ese punto del proceso: difumina automáticamente rostros y matrículas, permite editar manualmente el resto de elementos en el editor y no genera registros de detección. El alcance de la integración debe confirmarse siempre con el equipo de producto.

La anonimización de datos visuales consiste en tratar fotografías y grabaciones para reducir la posibilidad de identificar a personas o vehículos antes de un uso posterior, especialmente antes de su publicación, cesión a otros terceros o incorporación a un circuito organizativo más amplio. En la práctica, se trata sobre todo de face blurring -difuminado de rostros- y license plate blurring -difuminado de matrículas-. Sin embargo, al integrar la anonimización de vídeo con sistemas de alarma y BMS, no hablamos de una cuestión meramente técnica: también entran en juego la arquitectura de datos, las funciones de las partes implicadas y las obligaciones derivadas del RGPD [1].

Datos visuales de sistemas de alarma y BMS: ¿dónde termina la seguridad y empieza la publicación?

Un sistema de alarma o un BMS puede ser la fuente del material visual, pero la fuente por sí sola no determina la finalidad del tratamiento. Si la grabación se recogió inicialmente para proteger un edificio, a las personas o los bienes, la base jurídica y la finalidad del tratamiento se analizan en ese contexto. Sin embargo, si ese mismo material se traslada después al departamento de relaciones públicas, marketing, administración pública o a un proveedor encargado de la publicación, se abre una nueva fase operativa. En ese caso, las organizaciones suelen tener que evaluar si el uso posterior encaja en la finalidad original o si exige una justificación adicional, medidas de minimización y garantías específicas [1][2].

El RGPD considera que la imagen captada en una fotografía o grabación es un dato personal cuando permite identificar a una persona. Los organismos de control europeos y nacionales aplican un enfoque similar al material procedente de videovigilancia y CCTV [1][2][4]. Por eso, en una integración multicapa no basta con afirmar que el material procede de un sistema técnico del edificio. Hay que determinar quién decide la finalidad de uso de la imagen, quién inicia la anonimización, quién elige la herramienta y quién autoriza la publicación del material final. En este punto suele implantarse un software on-premise de anonimización de datos visuales como Gallio PRO, aunque conviene verificar siempre la arquitectura de integración y el reparto de responsabilidades con el equipo de producto antes del despliegue.

Arquitectura de datos al integrar la anonimización de vídeo con alarmas y BMS

El modelo analítico más seguro consiste en dividir el flujo de datos en capas independientes:

1. Sistema fuente: cámara, grabador, sistema de alarma o BMS que almacena o indexa el material.
2. Exportación del fragmento seleccionado de la grabación o de la fotografía.
3. Entorno de anonimización: aquí Gallio PRO trabaja sobre el archivo exportado.
4. Repositorio del material procesado.
5. Publicación o entrega del material al destinatario final.

Esta separación tiene importancia jurídica, porque no siempre existe un único responsable del tratamiento. En un modelo sencillo, el propietario del edificio o la entidad que gestiona la videovigilancia sigue siendo responsable de todo el proceso. En una estructura más compleja, el responsable del sistema de seguridad puede no ser el mismo que el responsable de la publicación, y además puede intervenir un encargado del tratamiento responsable del soporte técnico o un integrador externo. La función de cada parte no depende del nombre que aparezca en el contrato, sino de la influencia real sobre las finalidades y los medios del tratamiento [1].

En la práctica, ayudan cuatro preguntas de control: quién decide exportar la grabación del sistema de seguridad; quién determina si el material se usará fuera de la finalidad original; quién selecciona los parámetros de anonimización; y quién aprueba la publicación final. Las respuestas ordenan las funciones de responsable, corresponsables o encargado del tratamiento.

Si desea validar este flujo en un escenario real, puede descargar la versión de demostración y mapear cómo circulan los datos visuales dentro de su organización.

Modelo on-premise como enfoque para limitar la exposición de datos

En entornos multicapa, el lugar donde se realiza el tratamiento es especialmente relevante. El software on-premise suele considerarse un enfoque alineado con el principio de minimización de la exposición de datos, porque el material no tiene por qué salir del entorno controlado por la organización. Esto no garantiza automáticamente el cumplimiento del RGPD, pero facilita la aplicación de los principios de privacidad desde el diseño y por defecto recogidos en el artículo 25 del RGPD [1].

Otra característica arquitectónica importante es que Gallio PRO no recopila registros que contengan datos de detección de rostros y matrículas ni registros con datos personales. En una integración con sistemas por capas, esto es relevante porque limita el número de artefactos técnicos adicionales que podrían convertirse por sí mismos en soportes de datos personales. Desde la perspectiva del cumplimiento, es una ventaja, aunque no sustituye al análisis completo del flujo de datos, la retención y los permisos.

Qué admite realmente Gallio PRO y qué no debe declararse sin verificación

Al describir implantaciones, es esencial ser preciso. Gallio PRO difumina automáticamente solo rostros y matrículas. No detecta automáticamente logotipos de empresas, tatuajes, placas con nombres, documentos ni imágenes visibles en pantallas de ordenador. Estos elementos pueden tratarse manualmente en el editor integrado si la organización lo considera necesario para un material concreto.

Esta distinción también es importante al integrar la herramienta con alarmas y BMS. Si una organización quiere automatizar la preparación de fragmentos de material para su publicación, no debe asumir que la herramienta cubrirá todos los posibles identificadores presentes en el encuadre: la detección automática se limita a rostros y matrículas. Tampoco conviene declarar una integración nativa con un BMS concreto sin una verificación previa con el equipo de producto. Una descripción más segura es hablar de integración a nivel de proceso, exportación de material o uso de API, siempre que el escenario técnico haya sido confirmado.

Obligaciones del RGPD en una integración multicapa

El error más frecuente consiste en reducir el problema al simple difuminado de rostros. Sin embargo, desde la perspectiva del RGPD, la organización debe demostrar primero la licitud de todo el tratamiento y solo después elegir la medida técnica adecuada. En la práctica, el cumplimiento suele abarcar al menos cinco áreas:

1. Finalidad y base jurídica del tratamiento del material visual en cada fase. La base para la videovigilancia de seguridad puede ser distinta de la base para publicar fotografías o grabaciones [1][2].
2. Minimización de datos. Si para la publicación solo se necesita un fragmento breve, no existe justificación para que toda la grabación siga circulando [1].
3. Retención del material fuente y del material anonimizado. No separar estos plazos suele derivar en una conservación excesiva.
4. Funciones de las partes y contratos de encargo del tratamiento, cuando participan proveedores técnicos o integradores [1].
5. EIPD -evaluación de impacto relativa a la protección de datos-, a menudo recomendable en integraciones multicapa, especialmente cuando la videovigilancia se combina con una nueva finalidad de uso, múltiples sistemas o un tratamiento a gran escala [1][3].

Esto no constituye asesoramiento jurídico, sino una práctica consolidada de cumplimiento. Cuantas más capas técnicas y decisorias existan, más sólido será el argumento a favor de realizar una EIPD formal. Esta evaluación permite describir los riesgos de una asignación incorrecta de funciones, una retención excesiva, accesos demasiado amplios y usos secundarios de grabaciones fuera de la finalidad original.

Imagen personal y matrículas: qué debe anonimizarse antes de publicar

En el caso de los rostros, el punto de partida es relativamente claro. Como regla general, publicar una imagen reconocible exige una base jurídica conforme al RGPD y tener en cuenta la normativa sobre derechos de la personalidad y derechos de autor [1][5][6]. La legislación sobre derechos de autor contempla excepciones al requisito de autorización para difundir la imagen, en particular cuando se trata de una persona de notoriedad pública en relación con el ejercicio de funciones públicas, de una persona que aparece únicamente como detalle accesorio dentro de un conjunto -por ejemplo, una reunión, un paisaje o un acto público-, o de una persona que recibió una remuneración pactada por posar y no estableció una reserva en sentido contrario [6]. Incluso en esos casos, las organizaciones suelen analizar el contexto de la publicación, el encuadre y el riesgo de exposición excesiva.

En cuanto a las matrículas, la situación es más compleja. No puede asumirse de forma general que en los países de Europa occidental su difuminado sea obligatorio sobre la base de recomendaciones de la Unión Europea: no existe una regla uniforme paneuropea formulada en esos términos. La evaluación depende del contexto del tratamiento y de la posibilidad de identificar a una persona. En Polonia, la cuestión tampoco es completamente inequívoca, aunque, en principio, una matrícula puede constituir un dato personal si permite identificar a una persona física mediante medios razonablemente probables [1][2]. Por ello, muchas organizaciones adoptan un enfoque prudente y aplican el difuminado de matrículas como medida de reducción del riesgo.

Tabla: reparto de responsabilidades en una arquitectura multicapa típica

Integración con BMS y alarmas: cómo describirla de forma responsable

Una descripción segura de la implantación no debe sugerir que cualquier entorno BMS puede conectarse al proceso de anonimización de la misma manera. En la práctica, todo depende del formato de exportación, los permisos de los operadores, el lugar de instalación y el modo de transferencia de archivos. Por eso, la comunicación de producto debe evitar afirmaciones sobre una integración nativa con plataformas concretas sin confirmación técnica. Es más adecuado hablar de arquitectura de proceso, software on-premise, exportación de materiales, API o un escenario individual tras analizar los requisitos. En estos casos, lo más recomendable es ponerse en contacto y confirmar el alcance posible de la implantación.

Desde la perspectiva del RGPD, también es importante que la herramienta de anonimización no cree nuevas capas innecesarias de datos. La ausencia de registros con datos de detección de rostros y matrículas, así como de registros con datos personales, es una característica especialmente valiosa en una arquitectura multicapa. Cuantas menos huellas secundarias genere el tratamiento, más fácil será limitar la superficie de riesgo y documentar el principio de minimización.

FAQ: integración de la anonimización de vídeo con sistemas de alarma y BMS

¿La integración de la anonimización con un sistema de alarma exige siempre una EIPD?

No siempre, pero en una integración multicapa suele ser un enfoque razonable. Si el material de videovigilancia va a utilizarse fuera de la finalidad original de seguridad y el proceso incluye varios sistemas y varios grupos de usuarios, muchas organizaciones consideran la EIPD un estándar de cumplimiento [1][3].

¿Gallio PRO anonimiza la imagen de las cámaras en tiempo real?

No. Gallio PRO no realiza anonimización en tiempo real ni anonimización de flujos de vídeo.

¿La herramienta detecta automáticamente todos los elementos que pueden identificar a una persona?

No. La detección automática cubre exclusivamente rostros y matrículas. Los logotipos de empresas, tatuajes, placas con nombres, documentos o imágenes visibles en monitores no se detectan automáticamente y requieren una evaluación y, en su caso, un tratamiento manual.

¿Siempre hay que difuminar los rostros antes de publicar?

No siempre. Como regla general, publicar una imagen reconocible requiere una base jurídica y tener en cuenta las normas sobre protección de los derechos de la personalidad y derechos de autor, pero existen excepciones legales al requisito de autorización, por ejemplo, para personas de notoriedad pública en relación con el ejercicio de funciones públicas o para personas que aparecen únicamente como detalle accesorio dentro de un conjunto [1][5][6]. Cada caso exige evaluar el contexto.

¿Las matrículas son siempre datos personales?

No siempre. La evaluación depende del contexto y de si, mediante medios razonablemente probables, la matrícula permite identificar a una persona física. Tampoco existe una regla general paneuropea que obligue a difuminarlas en todos los casos. Por ello, muchas organizaciones adoptan un enfoque prudente y difuminan las matrículas antes de publicar [1][2].

¿Por qué es importante que no existan registros con datos de detección en una integración?

Porque los registros adicionales pueden crear por sí mismos una nueva capa de datos personales o metadatos de alto riesgo. Gallio PRO no guarda registros que contengan datos de detección de rostros y matrículas ni registros con datos personales. En una arquitectura multicapa, esta característica ayuda a reducir la exposición de datos.

¿Puede declararse una integración nativa de Gallio PRO con un BMS concreto?

No sin una verificación previa. La práctica de comunicación más segura consiste en describir el escenario de integración como dependiente de la arquitectura concreta, el formato de exportación y los requisitos de despliegue. Antes de publicar materiales comerciales o documentación, conviene confirmar el alcance técnico con el equipo de producto.

Materiales relacionados

• Anonimización de vídeo con Gallio PRO
• Descargar la demo gratuita
• Videovigilancia y sistemas de control de acceso con cámaras IP: cómo integrarlos y mantener el cumplimiento del RGPD
• Cómo redactar un procedimiento de gestión de grabaciones de CCTV en una organización: plantilla de documento para el DPO

Texto elaborado por el equipo de Gallio PRO: especialistas en protección de datos e ingeniería de vídeo que desarrollan software de anonimización utilizado en seguridad, sector público y medios de comunicación. Este material tiene carácter informativo y no constituye asesoramiento jurídico.

¿Está diseñando un flujo de datos desde un BMS hasta la publicación? Mapéelo en la demo: descargue la prueba gratuita de Gallio PRO →