Vigilancia que preserva la privacidad: definición
La vigilancia que preserva la privacidad consiste en diseñar y operar sistemas de videovigilancia de manera que la injerencia en la privacidad se limite al mínimo necesario para alcanzar un objetivo concreto. En la práctica, esto significa definir la arquitectura del sistema CCTV, las políticas de conservación, los permisos de acceso y los métodos de tratamiento de imagen de forma que la identificación de las personas se limite ya desde la fase de diseño del sistema. En el contexto de fotos y grabaciones de vídeo, la medida técnica básica es la anonimización de imágenes y vídeos o la seudonimización de la imagen, normalmente mediante el difuminado o enmascaramiento automático de rostros y matrículas.
Este concepto se deriva de los principios generales de protección de datos y no de una única definición legal autónoma. Son especialmente relevantes el art. 5.1.c del RGPD, relativo a la minimización de datos; el art. 25 del RGPD, sobre protección de datos desde el diseño y por defecto; y el art. 32 del RGPD, sobre seguridad del tratamiento. En videovigilancia, esto implica que el responsable del tratamiento debe poder demostrar que el alcance de la imagen captada, la calidad de la grabación, el plazo de conservación y la forma de acceso son proporcionales a la finalidad perseguida. Si el objetivo puede alcanzarse utilizando material ya anonimizado, el material íntegro que permite identificar a las personas no debería difundirse ampliamente.
En los sistemas de smart city y CCTV, la vigilancia que preserva la privacidad suele entenderse como una aplicación operativa del principio de privacy by design. El Comité Europeo de Protección de Datos, en sus Directrices 3/2019 sobre el tratamiento de datos personales mediante dispositivos de vídeo, indica que las soluciones técnicas que limitan la identificación, como el enmascaramiento de zonas o la reducción del campo de visión, deben valorarse ya en la fase de selección del sistema. El Supervisor Europeo de Protección de Datos, en sus trabajos sobre video-surveillance, y la serie de normas EN 62676 para sistemas de videovigilancia subrayan la relación entre la finalidad del sistema y los parámetros técnicos de la imagen.
El papel de la vigilancia que preserva la privacidad en la anonimización de fotos y grabaciones de vídeo
En relación con los materiales visuales, la vigilancia que preserva la privacidad no significa renunciar a la videovigilancia, sino cambiar la forma en que se utiliza. Lo más importante es separar la función de seguridad de la función de identificación. No todos los usuarios del sistema necesitan acceso a la imagen completa y no anonimizada. En muchos procesos, basta con material en el que los rostros y las matrículas estén ocultos.
Este enfoque es relevante al publicar grabaciones, transferirlas a terceros, tramitar solicitudes, realizar formaciones, auditorías y análisis de incidentes. En este modelo, el material original permanece bajo el control del responsable del tratamiento, mientras que la versión de trabajo o la copia exportada carece de identificadores visuales directos.
- los rostros se consideran datos personales si permiten identificar a una persona física
- las matrículas, en muchos marcos jurídicos y prácticas supervisoras, se consideran datos personales o información que permite una identificación indirecta
- la anonimización del material audiovisual debe ser irreversible en la copia divulgada, si el objetivo es excluir la posibilidad de identificación
- si el proceso es reversible o existe una clave que permite volver a vincular a una persona con la grabación, hablamos más bien de seudonimización que de anonimización
En Polonia, la cuestión de las matrículas sigue siendo controvertida. En la práctica de compliance conviene señalar dos posturas. Por un lado, las directrices de las autoridades de protección de datos y la práctica europea tienden a favorecer su protección. Por otro, en la jurisprudencia de los tribunales contencioso-administrativos existe la opinión de que una matrícula, por sí sola, no siempre constituye un dato personal. En un enfoque prudente para la videovigilancia y la publicación de vídeos, se adopta el difuminado de matrículas como una medida de reducción del riesgo regulatorio.
Tecnologías utilizadas en la vigilancia que preserva la privacidad
En las implementaciones modernas, la anonimización de imágenes se basa principalmente en la detección de objetos y su seguimiento entre fotogramas consecutivos. Para detectar rostros y matrículas se utilizan modelos de aprendizaje automático, con mayor frecuencia de deep learning. Esta distinción es importante: el simple difuminado no es una tecnología inteligente, sino el resultado final. El componente de IA es el modelo que primero localiza el rostro o la matrícula en la imagen y solo después activa el algoritmo de enmascaramiento.
El modelo de IA requiere un proceso previo de entrenamiento con conjuntos de datos adecuadamente preparados. La calidad del posterior enmascaramiento depende de la calidad de la anotación, de la diversidad de los datos de entrenamiento, de las condiciones de iluminación, del ángulo de la cámara, de la resolución y de los parámetros de inferencia. En los sistemas que procesan material ya grabado, también son importantes los mecanismos de corrección manual, porque incluso una alta tasa de detección no elimina por completo los errores.
Capa
Función
Importancia para la privacidad
Detección de objetos
Detección de rostros y matrículas
Condición para aplicar correctamente el enmascaramiento a los datos
Tracking
Seguimiento del objeto entre fotogramas
Reduce el riesgo de omisiones en movimiento
Enmascaramiento
Blur, pixelation, fill, blackout
Oculta identificadores visuales
Validación manual
Corrección manual de la detección
Reduce el riesgo de false negative
Control de acceso
Permisos sobre la versión original y la anonimizada
Limita la divulgación no autorizada de datos
En este ámbito conviene ser precisos. Gallio PRO difumina automáticamente únicamente rostros y matrículas. No detecta automáticamente logotipos, tatuajes, placas identificativas, documentos ni imágenes mostradas en pantallas de monitores. Estos elementos pueden ocultarse manualmente mediante el editor integrado. El software funciona en modelo on-premise y no realiza anonimización en tiempo real ni anonimización de flujo de vídeo.
Parámetros y métricas clave de la vigilancia que preserva la privacidad
Para el Delegado de Protección de Datos y los equipos técnicos, es esencial poder evaluar la eficacia de la protección de la privacidad sobre la base de parámetros medibles. La mera declaración de uso de IA no determina por sí sola la conformidad del proceso.
- recall de detección: porcentaje de rostros o matrículas detectados por el modelo; en anonimización suele ser más importante que la precisión, porque omitir un objeto implica riesgo de divulgación de datos
- precision de detección: porcentaje de detecciones correctas sobre el total de detecciones; influye en el número de máscaras innecesarias
- false negative rate: proporción de objetos no detectados; es uno de los indicadores de riesgo más importantes
- latencia de procesamiento del archivo: tiempo necesario para analizar y renderizar el material, normalmente medido para una determinada duración de grabación o como rendimiento de procesamiento
- coverage frame-to-frame: continuidad del enmascaramiento entre fotogramas
- retención del material original y del anonimizado: número de días o meses de conservación
En la práctica, puede utilizarse un indicador sencillo de cobertura de la anonimización:
Coverage = número de objetos correctamente difuminados / número total de objetos que requieren difuminado
Para los procesos de cumplimiento, es fundamental documentar el método de prueba: tamaño de la muestra, tipo de escenas, calidad de imagen y criterios de aceptación. Sin ello, comparar resultados entre sistemas no es fiable.
Retos y limitaciones de la vigilancia que preserva la privacidad
El modelo de protección de la privacidad en videovigilancia presenta limitaciones técnicas y jurídicas. En primer lugar, la eficacia de la detección depende de la calidad del material. La baja resolución, la fuerte compresión, la ocultación del rostro, el movimiento de la cámara, los reflejos en cristales y la iluminación nocturna reducen la precisión de los modelos. En segundo lugar, la frontera entre anonimización y seudonimización depende de si existe la posibilidad de reidentificación mediante información adicional.
No todos los usos de la videovigilancia requieren el mismo nivel de detalle de imagen. La norma EN 62676-4:2015 describe cómo ajustar los parámetros de imagen a la finalidad de observación, reconocimiento e identificación. Desde la perspectiva de privacy by design, esto tiene una importancia práctica: si la finalidad es la supervisión general de una zona, aplicar parámetros propios de la identificación puede resultar desproporcionado.
Referencias normativas y práctica de compliance
La evaluación de los sistemas de vigilancia que preserva la privacidad se basa en normas jurídicas y directrices que deben interpretarse de forma conjunta. No constituyen una única especificación técnica cerrada, pero sí definen un estándar de cumplimiento.
- RGPD: Reglamento (UE) 2016/679, en particular los arts. 5, 25 y 32
- CEPD, Directrices 3/2019 sobre el tratamiento de datos personales mediante dispositivos de vídeo, versión adoptada tras la consulta en 2020
- EN 62676: serie de normas para sistemas de videovigilancia, incluida la parte 4:2015 relativa a las aplicaciones
- ISO/IEC 27001:2022: sistema de gestión de la seguridad de la información, útil para organizar el control de acceso y la retención
En la práctica de compliance, esto significa que es necesario realizar una prueba de proporcionalidad, determinar la base jurídica, documentar el plazo de conservación, separar el acceso a la copia original y a la anonimizada y garantizar que los registros del sistema no se conviertan por sí mismos en una nueva fuente de datos personales. En este contexto, es relevante que Gallio PRO no recopila logs que contengan datos procedentes de la detección de rostros y matrículas ni otros logs que incluyan datos personales o categorías especiales de datos.
Véase también
- Anonimización de datos
- Difuminado de rostros
- Difuminado de matrículas
- Cumplimiento del RGPD