Cesión de grabaciones de videovigilancia y RGPD: definición
La cesión de grabaciones de videovigilancia y el RGPD es el conjunto de reglas que determina cuándo el responsable del tratamiento puede entregar una grabación de vídeo o imágenes de un sistema de videovigilancia a otra entidad y qué medidas de protección debe aplicar para no vulnerar los derechos de las personas que aparecen en el material. En la práctica, se trata de una operación de tratamiento de datos personales en el sentido del artículo 4, apartado 2, del Reglamento (UE) 2016/679, ya que una grabación que contiene la imagen del rostro, rasgos de la silueta, comportamiento, contexto de lugar y tiempo, y en ocasiones también matrículas, puede permitir la identificación de una persona física.
En el contexto de fotografías y grabaciones de vídeo, la simple entrega de un archivo no es una acción técnicamente neutra. Supone una divulgación de datos a un destinatario externo. Por ello, exige una base jurídica conforme al artículo 6, apartado 1, del RGPD, la limitación de la finalidad, la minimización de datos conforme al artículo 5, apartado 1, letras b) y c), del RGPD, así como la implantación de medidas de seguridad del artículo 32 del RGPD. Si el material va a entregarse a un tercero que no necesita la imagen completa y sin anonimizar, el responsable debe valorar previamente el difuminado de rostros y matrículas o la preparación de una copia limitada al fragmento estrictamente necesario.
En videovigilancia también es importante distinguir entre cesión de datos y encargo del tratamiento. Si la entidad externa actúa para sus propios fines, por ejemplo la policía en el marco de una investigación, estamos ante un destinatario de datos independiente. En cambio, si la empresa que da mantenimiento al sistema CCTV actúa exclusivamente por instrucciones del responsable, por regla general será un encargado del tratamiento y necesitará un contrato de encargo conforme al artículo 28 del RGPD.
Cuándo la cesión de grabaciones de videovigilancia es legal
La legalidad depende de la finalidad de la entrega, de la condición del destinatario y del alcance del material. No existe una única base jurídica válida para todos los supuestos. La evaluación debe quedar documentada y vinculada a una solicitud concreta o a una obligación específica.
Las bases jurídicas más habituales se recogen en el siguiente cuadro.
Destinatario | Base jurídica habitual | Condición | Alcance de la entrega
|
|---|---|---|---|
Policía, fiscalía, juzgado o tribunal | art. 6.1.c RGPD o art. 6.1.f RGPD | solicitud basada en una norma legal u otra facultad procesal | material necesario para el procedimiento |
Aseguradora | art. 6.1.f RGPD o norma especial | acreditación de interés legítimo u obligación legal | fragmento relacionado con el siniestro |
Parte en un procedimiento civil | evaluación individual; normalmente art. 6.1.f o cumplimiento de obligación legal | necesidad de ejercitar o defender reclamaciones | alcance limitado, a menudo tras anonimizar a terceros |
Interesado | art. 15 RGPD | ejercicio del derecho de acceso, teniendo en cuenta los derechos de otras personas | copia de los datos o acceso, normalmente tras anonimizar a otras personas |
No es conforme con el RGPD entregar grabaciones completas “por si acaso”, sin verificar la finalidad y sin limitar el alcance. También puede constituir una infracción facilitar el material a un particular solo porque afirma que “aparece en la grabación”, si el responsable no verifica su identidad y no protege los datos de otras personas.
Anonimización y difuminado antes de ceder grabaciones
En la práctica del compliance, resulta clave preparar una versión del material adecuada a la finalidad. Si el destinatario no necesita la identificación completa de todas las personas y vehículos, deben limitarse los datos. En las grabaciones de vídeo, esto suele significar el difuminado de rostros y matrículas, así como el recorte de fragmentos temporales innecesarios.
El difuminado automático de rostros y matrículas suele basarse en modelos de detección de objetos entrenados con métodos de deep learning. Un modelo de IA no “anonimiza” en sentido jurídico, sino que apoya la ejecución técnica del principio de minimización o de la seudonimización del material antes de su cesión. Para que dicho modelo funcione, primero debe entrenarse con conjuntos de datos que contengan rostros o matrículas correctamente etiquetados. A continuación, se utiliza para detectar objetos en los fotogramas y aplicar una máscara de desenfoque u ocultación. La eficacia del proceso depende de la calidad del material, la iluminación, el ángulo de captura, la compresión y el número de detecciones omitidas.
En el entorno Gallio PRO, el tratamiento automático se aplica únicamente a rostros y matrículas. El software no difumina siluetas completas, no realiza la anonimización del flujo de vídeo ni la anonimización en tiempo real. Tampoco detecta automáticamente logotipos, tatuajes, identificaciones con nombre, documentos ni contenidos visibles en pantallas de monitores. Estos elementos pueden ocultarse manualmente en el editor. Esto es especialmente importante al compartir grabaciones de videovigilancia, ya que el responsable debe comprobar si, además del rostro y la matrícula, el material contiene otros identificadores que requieran ocultación manual.
Policía, aseguradora y partes del procedimiento: reglas prácticas
La mayoría de los errores se producen cuando el responsable trata todas las solicitudes por igual. Sin embargo, el alcance admisible de la cesión depende del estatuto del destinatario y de la base jurídica aplicable.
En la práctica, conviene aplicar las siguientes reglas:
- a la policía o a la fiscalía se les entrega el material que se ajusta al contenido de la solicitud, dejando constancia de la fecha, la base jurídica y el alcance de la entrega,
- la aseguradora debe recibir únicamente el material necesario para tramitar un siniestro concreto, y no el archivo completo de múltiples cámaras,
- a una parte en un procedimiento civil a menudo puede facilitarse una copia tras anonimizar a terceros, si su identificación no es necesaria para la finalidad probatoria,
- a la persona grabada no debe entregársele automáticamente el archivo bruto, ya que el ejercicio del derecho de acceso del artículo 15 del RGPD debe tener en cuenta los derechos y libertades de otras personas.
Constituye una infracción, en particular, publicar la grabación en internet, enviarla a través de una aplicación de mensajería no controlada, entregarla sin verificar la identidad del destinatario o sin eliminar los datos de terceros ajenos. El Comité Europeo de Protección de Datos, en sus Directrices 3/2019 sobre el tratamiento de datos personales mediante dispositivos de vídeo, indica que los derechos de otras personas presentes en la grabación pueden justificar la limitación del acceso o la aplicación de medidas técnicas, como el enmascaramiento de la imagen.
Parámetros clave y control del riesgo al ceder grabaciones
Al evaluar el proceso, conviene utilizar criterios medibles. No todos derivan directamente de la normativa, pero son necesarios para demostrar diligencia debida y la eficacia de las medidas de seguridad.
Parámetro | Importancia práctica | Objetivo de control habitual
|
|---|---|---|
intervalo temporal de la grabación | minimización de datos | solo el periodo vinculado al incidente |
número de cámaras incluidas en la exportación | limitación del exceso de información | solo las cámaras relevantes para el caso |
porcentaje de fotogramas con rostro o matrícula correctamente difuminados | evaluación de la eficacia del enmascaramiento | control de calidad antes de la entrega |
plazo de conservación de la copia de trabajo | seguridad operativa | eliminación una vez cumplida la finalidad |
modo de transferencia | confidencialidad e integridad | soporte cifrado o canal seguro |
Si se utiliza el difuminado automático de rostros y matrículas, el responsable debe prever controles para los errores de tipo false negative, es decir, rostros o matrículas no detectados. En material de baja calidad, la automatización por sí sola puede ser insuficiente y será necesaria una validación manual. Esto tiene relevancia probatoria y de compliance, ya que un solo rostro omitido puede suponer la divulgación de datos personales a una persona no autorizada.
Referencias normativas y diferencias interpretativas
Las fuentes básicas son el RGPD —Reglamento (UE) 2016/679, de 27 de abril de 2016—, las Directrices 3/2019 del CEPD sobre el tratamiento de datos personales mediante dispositivos de vídeo y, en Polonia, también la normativa sectorial que regula la videovigilancia, por ejemplo el Código de Trabajo tras la reforma de 2018 y la Ley de 10 de mayo de 2018 de protección de datos personales. En asuntos civiles y penales también son relevantes las normas procesales sobre aseguramiento y aportación de pruebas.
En relación con las matrículas, existe una divergencia interpretativa. En la práctica europea y en las posiciones de las autoridades de protección de datos, suele asumirse que el número de matrícula puede ser un dato personal si, en un contexto concreto, permite identificar al propietario o al usuario del vehículo. El CEPD se inclina por un enfoque prudente, al igual que la jurisprudencia del TJUE sobre la interpretación amplia de la identificabilidad. Por otro lado, en la jurisprudencia administrativa polaca existen posiciones según las cuales la matrícula, por sí sola, no siempre constituye un dato personal. Desde la perspectiva de la gestión del riesgo al ceder grabaciones, resulta más seguro tratar las matrículas como un identificador que requiere evaluación y, con frecuencia, difuminado.
En cuanto a los rostros, la situación es más clara. La imagen fijada en una grabación constituye, por regla general, un dato personal, y su difusión también está sujeta a las limitaciones derivadas del Código Civil y de la Ley de derechos de autor y derechos afines. Las excepciones suelen referirse a personas de notoriedad pública en relación con el ejercicio de funciones públicas, al detalle accesorio de un conjunto mayor y a las situaciones en que la persona ha recibido la remuneración pactada por posar.