DSAR de grabaciones de vídeo: definición
Una DSAR de grabaciones de vídeo (Data Subject Access Request) es una solicitud de acceso presentada por el interesado para obtener información sobre los datos personales que trata el responsable. En el contexto del vídeo, se refiere a la situación en la que una persona solicita confirmación de si su imagen u otros datos identificativos han sido captados en una grabación y, posteriormente, pide acceso a esos datos dentro de los límites previstos por la ley. La base jurídica es el artículo 15 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, es decir, el RGPD.
En la práctica, una DSAR relativa a una grabación de vídeo no implica la entrega automática del archivo fuente completo. El responsable debe conciliar el derecho de acceso del solicitante con los derechos y libertades de las demás personas que aparecen en la grabación. Esto se desprende directamente del artículo 15.4 del RGPD. Por este motivo, el material facilitado en respuesta a la solicitud normalmente requiere la preparación de una versión con anonimización de los elementos relativos a terceros, sobre todo mediante el difuminado de rostros y, con frecuencia, también de matrículas.
En el entorno de imágenes y vídeo, una DSAR no solo exige analizar la base jurídica, sino también preparar técnicamente el material. Si la grabación contiene varias personas, la correcta gestión de la solicitud requiere detectar los objetos identificativos, seguirlos entre fotogramas y ocultar de forma permanente aquellas partes de la imagen que no deban ser reveladas al destinatario de la respuesta.
Cómo entender una DSAR en la anonimización de grabaciones de vídeo
En relación con grabaciones de videovigilancia, cámaras móviles, cámaras corporales o cámaras para coche, la cuestión clave es que la propia imagen puede constituir un dato personal si permite identificar a una persona de forma directa o indirecta. Este enfoque es el que adoptan las autoridades de protección de datos y la jurisprudencia de la Unión Europea. Por tanto, si una persona es reconocible en el material, el responsable debe evaluar en qué medida puede facilitar una copia de la grabación sin vulnerar los derechos de otras personas.
En la práctica, preparar una respuesta a una DSAR de grabaciones de vídeo se reduce a tres operaciones. Primero, hay que localizar el fragmento correcto del material. Después, debe confirmarse que el solicitante aparece realmente en la grabación, siempre que ello sea necesario para tramitar la solicitud y resulte proporcionado. La última fase consiste en preparar una copia para su entrega, normalmente tras difuminar los datos de terceros.
- Alcance de la identificación: rostro, silueta, contexto de lugar y tiempo, matrícula, características de la vestimenta.
- Alcance de la protección: principalmente los rostros de otras personas y, según el contexto, también matrículas y otros identificadores.
- Forma de respuesta: copia de la grabación, fotogramas extraídos o descripción de los datos, según la proporcionalidad y el riesgo.
- Limitación: los derechos y libertades de otras personas no pueden verse afectados por la divulgación del material completo.
Proceso de gestión de una DSAR para material de vídeo
La tramitación de la solicitud requiere un proceso documentado. Como regla general, el plazo básico es de 1 mes desde la recepción de la solicitud, de conformidad con el artículo 12.3 del RGPD. En asuntos complejos, este plazo puede ampliarse otros 2 meses, pero el responsable debe informar al solicitante de ello junto con la justificación. En el caso de las grabaciones de vídeo, la complejidad suele derivarse de la duración del material, del número de terceros y de la necesidad de anonimizar fotograma a fotograma.
Desde el punto de vista operativo, conviene aplicar un esquema de actuación ordenado, ya que el vídeo contiene datos no estructurados y difíciles de revisar manualmente a gran escala.
- Recepción y registro de la solicitud.
- Verificación de la identidad del solicitante, si es necesario.
- Determinación del intervalo temporal y de la ubicación de la grabación.
- Búsqueda de los archivos o secuencias pertinentes.
- Evaluación de si en la grabación aparecen otras personas u otros identificadores.
- Preparación de una copia anonimizada.
- Control de calidad del material antes de su entrega.
- Entrega de la copia y registro de la actuación en la documentación de cumplimiento.
Tecnologías utilizadas en una DSAR de grabaciones de vídeo
La preparación del material para su entrega suele requerir herramientas de análisis de imagen. En el caso de rostros y matrículas, se emplean modelos de detección de objetos basados en deep learning. Esto es necesario porque el enmascaramiento manual de cada fotograma en grabaciones largas resulta costoso y conlleva un alto riesgo de error. El modelo de IA primero aprende a detectar un tipo concreto de objeto a partir de un conjunto de entrenamiento y, posteriormente, se utiliza para señalar automáticamente las zonas que deben difuminarse.
En el ámbito del compliance, es importante distinguir entre la automatización de la detección y el alcance de la propia anonimización. Gallio PRO difumina automáticamente rostros y matrículas. El software no anonimiza siluetas completas, no funciona en tiempo real ni sobre un flujo de vídeo. Tampoco detecta automáticamente logotipos, tatuajes, identificaciones nominales, documentos ni contenidos mostrados en pantallas de monitores. Estos elementos pueden ocultarse manualmente mediante el editor integrado.
Parámetros y métricas clave en la anonimización de material para una DSAR
La evaluación de la calidad del material preparado no debería basarse únicamente en afirmar que la grabación ha sido difuminada. Para el Delegado de Protección de Datos o el equipo de compliance, son importantes determinados parámetros técnicos y operativos. Algunos proceden de la práctica de la visión por computador y otros de la gestión del proceso.
Parámetro | Importancia en una DSAR | Interpretación práctica
|
|---|---|---|
Precisión de detección | Porcentaje de detecciones correctas sobre el total de detecciones | Un valor bajo implica un exceso de falsos positivos y más trabajo de corrección |
Exhaustividad de detección (recall) | Porcentaje de objetos detectados sobre el total de objetos reales | Un valor bajo incrementa el riesgo de revelar rostros u otros identificadores de terceros |
IoU - Intersection over Union | Coincidencia entre el área detectada y el área real | Un IoU demasiado bajo puede dejar visibles fragmentos del rostro o de la matrícula |
Tiempo de preparación del material | Afecta al cumplimiento del plazo de respuesta previsto en el artículo 12.3 del RGPD | Debe medirse por separado el tiempo de búsqueda, anonimización y control de calidad |
Tasa de errores tras el control | Número de objetos no detectados o mal difuminados | Debe supervisarse en los procedimientos internos |
En proyectos de mayor escala, conviene definir acuerdos de nivel de servicio (SLA) propios del proceso, por ejemplo, un tiempo máximo de preparación por cada hora de material o un nivel admisible de errores tras la revisión manual. Estos valores no derivan directamente del RGPD, pero ayudan a demostrar el principio de responsabilidad proactiva del artículo 5.2.
Riesgos y limitaciones en la gestión de una DSAR de grabaciones de vídeo
El mayor riesgo consiste en entregar una copia que todavía permita identificar a terceros. El difuminado debe ser permanente e irreversible en la copia facilitada. De lo contrario, el material puede seguir conteniendo datos personales de personas que no son parte de la solicitud. El problema aumenta con grabaciones de alta resolución, iluminación variable, rostros parcialmente cubiertos y movimientos rápidos de la cámara.
El segundo grupo de limitaciones se refiere al estatus de las matrículas. En la práctica europea, su difuminado suele considerarse un estándar de protección de la privacidad, pero la valoración depende del contexto. En Polonia, la situación tampoco es completamente inequívoca. Por un lado, las directrices de las autoridades de protección de datos y la práctica europea invitan a actuar con cautela. Por otro, en la jurisprudencia de los tribunales contencioso-administrativos ha aparecido la postura de que una matrícula, por sí sola, no siempre constituye un dato personal. En la práctica de una DSAR, el enfoque más seguro es una evaluación contextual y la aplicación frecuente del enmascaramiento de matrículas, especialmente cuando la grabación contiene información adicional que permite identificar al propietario o al usuario del vehículo.
Referencias normativas y fuentes para una DSAR de grabaciones de vídeo
El concepto de DSAR y su forma de ejecución deben evaluarse a la luz de varios actos jurídicos y directrices. Los más importantes son las disposiciones del RGPD y las interpretaciones de las autoridades de control en materia de videovigilancia y derecho de acceso. En el caso de las grabaciones, también debe tenerse en cuenta el derecho a la protección de la imagen y de la privacidad.
- RGPD - Reglamento (UE) 2016/679, en particular los artículos 12, 15, 15.4 y 5.2.
- Directrices 3/2019 del Comité Europeo de Protección de Datos sobre el tratamiento de datos personales mediante dispositivos de vídeo, versión adoptada el 29 de enero de 2020.
- Código Civil - disposiciones sobre derechos de la personalidad, incluida la imagen y la privacidad.
- Ley de Propiedad Intelectual y derechos afines - normas sobre difusión de la imagen y excepciones legales.
- Criterios de la autoridad polaca de protección de datos (UODO) sobre la identificabilidad de las personas en grabaciones y las prácticas de videovigilancia.
Conviene conservar documentación sobre las decisiones relativas al alcance de la anonimización, ya que ello permite demostrar que el responsable valoró tanto el derecho de acceso del solicitante como la protección de los derechos de otras personas. En un entorno on-premise, también es importante que la herramienta de anonimización no genere registros adicionales que contengan datos personales. Gallio PRO no recopila registros que contengan detección de rostros y matrículas ni otros registros con datos personales.