Base jurídica del tratamiento de la imagen: definición
La base jurídica del tratamiento de la imagen es la condición legal concreta que legitima las operaciones realizadas sobre fotografías y grabaciones de vídeo cuando la imagen permite identificar a una persona física de forma directa o indirecta. En la práctica del cumplimiento del RGPD, se trata de indicar en qué fundamento del artículo 6, apartado 1, del Reglamento (UE) 2016/679 basa el responsable del tratamiento la captación, conservación, visualización, análisis, cesión, publicación o anonimización del material visual.
La imagen no está definida en el RGPD como una categoría separada de datos, pero, por regla general, constituye un dato personal si permite identificar a una persona. Así lo confirma el enfoque derivado del artículo 4, punto 1, del RGPD, así como la jurisprudencia y la práctica de las autoridades de control. En el contexto de las fotografías y las grabaciones de vídeo, la base jurídica no puede elegirse de forma genérica para todo el proceso. Debe evaluarse por separado para cada operación, por ejemplo, para la propia grabación, para el análisis posterior del material, para su publicación y para el uso de herramientas de anonimización, como el difuminado de rostros o matrículas.
En el entorno de compliance, las dos bases del artículo 6, apartado 1, del RGPD que se analizan con mayor frecuencia son el consentimiento del interesado, letra a), y el interés legítimo del responsable o de un tercero, letra f). En algunos casos también resultan aplicables la obligación legal de la letra c), el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos de la letra e) y, con menor frecuencia, la ejecución de un contrato de la letra b). La elección de la base debe poder verificarse, estar documentada y ser conforme con el principio de responsabilidad proactiva del artículo 5, apartado 2, del RGPD.
Cómo entender el tratamiento de la imagen en la anonimización de fotos y vídeos
En el ámbito de la anonimización de materiales visuales, es clave diferenciar entre el tratamiento de datos personales y la situación en la que los datos dejan de ser datos personales. Mientras el rostro u otro identificador siga siendo visible o pueda reconstruirse, las operaciones sobre el material seguirán estando sujetas al RGPD.
El difuminado de rostros o matrículas es en sí mismo una forma de tratamiento de datos. Abarca, como mínimo, la lectura de la imagen, la detección de objetos, la asignación de coordenadas, la modificación de píxeles y el guardado del resultado. Si el sistema utiliza un modelo de aprendizaje automático o deep learning para detectar rostros, el tratamiento también incluye el análisis automatizado de la imagen. Ese modelo de IA puede haber sido entrenado previamente con conjuntos de datos para después utilizarse en la detección de áreas que requieren difuminado. No obstante, se trata de una fase distinta del uso de un modelo ya preparado en el entorno de producción del responsable del tratamiento.
En el caso de Gallio PRO, es importante distinguir el alcance funcional. El software detecta y difumina automáticamente únicamente rostros y matrículas. No anonimiza siluetas completas. No funciona en tiempo real ni anonimiza flujos de vídeo. No detecta automáticamente logotipos, tatuajes, identificaciones con nombre, documentos ni contenido mostrado en monitores. Esos elementos pueden difuminarse manualmente en el editor. Por tanto, la evaluación de la base jurídica debe corresponder al alcance real del tratamiento.
Artículo 6 del RGPD en el contexto de las grabaciones de vídeo: cuándo consentimiento y cuándo interés legítimo
En la práctica de las grabaciones de vídeo, la mayoría de los problemas se refieren a la relación entre el consentimiento y el interés legítimo. Estas dos bases no son intercambiables. El responsable del tratamiento debe elegir la que realmente corresponda a la finalidad y a la relación con la persona grabada.
El consentimiento del artículo 6, apartado 1, letra a), del RGPD es adecuado cuando la persona tiene una elección real, puede negarse sin consecuencias negativas y puede retirar su consentimiento. En la práctica, esto suele afectar a sesiones fotográficas controladas, materiales promocionales, case studies, publicaciones de la imagen de clientes o empleados fuera de lo estrictamente necesario para la organización del trabajo. Si el material va a utilizarse públicamente, el consentimiento también puede ser necesario conforme al artículo 81 de la Ley de Derechos de Autor y Derechos Conexos, con independencia del análisis del artículo 6 del RGPD.
El interés legítimo del artículo 6, apartado 1, letra f), del RGPD se aplica con mayor frecuencia a la videovigilancia, la protección de bienes, la formulación o defensa de reclamaciones, la auditoría de incidentes, la documentación de hechos o la anonimización del material antes de su cesión o publicación posterior. Esta base exige realizar una prueba de ponderación. El responsable del tratamiento debe acreditar tres elementos: la existencia de una finalidad legítima, la necesidad del tratamiento y la inexistencia de un carácter prevalente de los derechos y libertades del interesado.
Base del artículo 6, apartado 1, del RGPD | Contexto típico en vídeo | Observaciones de compliance
|
|---|---|---|
letra a) - consentimiento | publicación de la imagen, materiales promocionales, entrevistas, grabaciones controladas | debe ser libre, específico, informado e inequívoco |
letra c) - obligación legal | grabaciones exigidas por normativa sectorial | requiere indicar la disposición legal concreta |
letra e) - interés público / poderes públicos | funciones de organismos públicos | por regla general, exige una base en el Derecho de la UE o en el Derecho nacional |
letra f) - interés legítimo | seguridad, videovigilancia, pruebas de incidentes, anonimización antes de la publicación | requiere prueba de ponderación e información conforme a los artículos 13 o 14 del RGPD |
Base jurídica, publicación y anonimización del material
Debe distinguirse entre la base jurídica de la propia captación de la imagen y la base de su publicación. El hecho de que el responsable del tratamiento haya grabado legalmente una imagen basándose en el interés legítimo no implica automáticamente el derecho a difundir públicamente la imagen completa. En muchos casos, la publicación requerirá un análisis independiente conforme al RGPD y a la normativa sobre derechos de autor.
La anonimización suele ser una medida de reducción del riesgo jurídico. Si el rostro se difumina de manera eficaz e irreversible y el material ya no permite identificar a la persona mediante medios razonablemente probables, el resultado puede dejar de constituir un dato personal. La evaluación de la eficacia de la anonimización debe tener en cuenta no solo el propio blur, sino también el contexto del encuadre, la voz, la vestimenta, el lugar, los metadatos y la posibilidad de vincular el contenido con otra información.
Parámetros clave para evaluar el cumplimiento en la anonimización de la imagen
En la práctica de los DPD y de los equipos de seguridad, una simple declaración de anonimización no es suficiente. Se necesitan criterios medibles del proceso. Los parámetros técnicos deben documentarse, ya que influyen en la valoración de si el material, tras el tratamiento, sigue conteniendo datos personales.
- eficacia de detección de rostros y matrículas: normalmente descrita mediante las métricas de precision y recall del modelo de detección
- porcentaje de objetos omitidos: false negative rate; desde el punto de vista de la privacidad, es un parámetro crítico
- porcentaje de detecciones erróneas: false positive rate; afecta a la calidad del material, aunque normalmente menos al riesgo jurídico
- durabilidad de la modificación: si el efecto de difuminado queda fijado en el material resultante y si puede revertirse
- alcance de los datos asociados: metadatos EXIF, marcas temporales, ubicación, pista de audio
- retención del material original: plazo de conservación de la versión no anonimizada
Para evaluar el interés legítimo, resulta útil un esquema sencillo: riesgo residual = probabilidad de identificación x impacto en los derechos de la persona. No se trata de una fórmula normativa del RGPD, sino de un método práctico para documentar decisiones. Cuanto mayor sea el riesgo residual tras el difuminado, más débil será el argumento de que el resultado ha dejado de ser un dato personal.
Referencias normativas e interpretativas
La base jurídica del tratamiento de la imagen debe analizarse a partir de fuentes primarias y directrices reconocidas. En el ámbito de las fotos y los vídeos son relevantes tanto las normas de la Unión Europea como las nacionales.
- RGPD - Reglamento (UE) 2016/679, en particular el artículo 4, punto 1, los artículos 5, 6, 13, 14, 25 y 32
- Directrices 3/2019 del CEPD sobre el tratamiento de datos personales mediante dispositivos de vídeo, versión adoptada el 29 de enero de 2020
- Carta de los Derechos Fundamentales de la UE - artículos 7 y 8
- Ley de 4 de febrero de 1994 sobre Derechos de Autor y Derechos Conexos - artículo 81 relativo a la difusión de la imagen
- Código Civil - artículos 23 y 24 relativos a los derechos de la personalidad
En el caso de las matrículas, existen divergencias interpretativas. En Polonia, la jurisprudencia de los tribunales administrativos ha indicado que el número de matrícula no siempre constituye por sí solo un dato personal. Por otro lado, el enfoque de la UODO, del CEPD y de parte de la jurisprudencia europea es más prudente y parte de una evaluación contextual, especialmente cuando el número puede vincularse al propietario o usuario del vehículo mediante medios disponibles. Por ello, en la práctica de compliance y de publicación de materiales visuales, suele adoptarse el difuminado de matrículas como medida de minimización del riesgo.
Conclusiones prácticas para el responsable del tratamiento y el DPD
La imagen en una fotografía o una grabación de vídeo no tiene una única base jurídica universal. Cada fase del tratamiento requiere una calificación independiente. Es especialmente importante diferenciar la grabación, el análisis, la publicación y la anonimización.
En la práctica, esto significa que el responsable del tratamiento debe:
- identificar la finalidad de cada fase del tratamiento del material visual
- asignar la base adecuada del artículo 6, apartado 1, del RGPD a cada finalidad
- realizar una prueba de ponderación cuando invoque el interés legítimo
- evaluar si la publicación requiere además consentimiento para la difusión de la imagen
- aplicar la anonimización de rostros y matrículas cuando la imagen completa no sea necesaria
- documentar la retención, las medidas de seguridad y el alcance de los datos conservados tras el tratamiento