Los principios de protección de datos personales aplicables al uso de drones.

El Grupo de Trabajo del artículo 29 ha dedicado un informe a considerar esta materia[1]. El punto de partida reside en el hecho que el uso de drones viene limitado por el deber general de respeto de los derechos a la vida privada y a la protección de datos de los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea. Ello obliga a realizar la adecuada ponderación en caso de que se diera un conflicto de derechos. El documento pone de manifiesto de modo muy gráfico las posibilidades tecnológicas asociadas a estos usos:

 «● Visual recording equipment: Smart cameras with fixed or variable focal length, capable to store and transmit live images, with on-board or ground-based facial recognition capabilities, allowing drones to identify and track specific individuals, objects or situations, identify patterns of movement, to read license plates on vehicles, whilst guaranteeing a 360° view, enabled to detect the thermal energy emitted by a target, allowing the flight and the recording of images in poor visibility conditions (due to fog, smoke, or debris) or during night hours;

● Detection equipment: optical-electronic sensors, infrared scanners, synthetic aperture radars to identify objects, vehicles and vessels and obtain information on their position and course even behind walls, smoke, or other obstacles;

● Radio-frequency equipment: such as antennas capturing the location of Wi-Fi access points or cellular stations, femtocells and IMSI catcher used by law enforcement agencies to control cellular phones and networks or by service provider to relay communications among networks and terminal users;

●  Specific sensors for the detection of nuclear traces, biological traces, chemical material, explosive devices.

Asimismo, se constatan dos riesgos evidentes para la protección de datos personales. El primero de ellos reside en la carencia de información. Lo usual es que el afectado no sepa que está siendo vigilado. Pero incluso en este caso el no saber dónde está la aeronave o el desconocer sus posibilidades técnicas puede producir un efecto disuasorio, provocar la inhibición en el ejercicio de nuestros derechos al que nos referíamos al citar con anterioridad la sentencia del Tribunal Constitucional Federal Alemán de 15 de diciembre de 1983, sobre la Ley del Censo de Población de 4 de marzo de 1982, cuando señala muy gráficamente:

«Quien se siente inseguro de si en todo momento se registran cualesquiera comportamientos divergentes y se catalogan, utilizan o transmiten permanentemente a título de información procurará no llamar la atención con esa clase de comportamiento. Quien sepa de antemano que su participación, por ejemplo en una reunión o en una iniciativa cívica va a ser registrada por las autoridades y que podrán derivarse riesgos para él por este motivo renunciará presumiblemente a lo que se supone un ejercicio de los correspondientes derechos fundamentales».

Añádase a lo anterior que cuando se habla de este tipo de aeronaves ni tiene porque hacerse en singular ni tampoco debemos confundirlas con juguetes. Los drones pueden operarse en red, como enjambres, o pueden mantenerse en vuelo muchas horas. Ello les permite abarcar amplias áreas territoriales y a la vez ser extraordinariamente precisos en el detalle.

El Grupo de Trabajo no tiene la menor duda respecto de la aplicabilidad de la normativa sobre protección de datos y la limitada operatividad de la excepción doméstica. Pueden darse casos de uso legítimo con fines policiales, periodísticos o creativos pero habrá que estar a la regulación de cada Estado miembro, -que hemos examinado arriba-, para determinar el criterio aplicable.

El informe resulta muy interesante por cuanto las recomendaciones que incorpora serán de extraordinaria utilidad. Sucintamente resumidas serían las siguientes:

1.Legitimación para el tratamiento.

  • El consentimiento operará en muy limitadas ocasiones como elemento legitimador. Por ejemplo podría ser viable en la grabación de entrenamientos de deportistas o en ciertas actividades recreativas.

  • La ejecución de un contrato o relación negocial podría servir para casos como la entrega de paquetes, pero plantea una dificultad prácticamente insalvable: la grabación de terceras partes no vinculadas al contrato. Seguramente donde esta causa de legitimación despliegue una mayor eficacia sea en el ámbito del control empresarial y la prevención de riesgos laborales.

  • Cuando sea necesario para el cumplimiento de una obligación legal o para el desarrollo de una tarea de interés público o en ejercicio de poderes públicos por parte de un responsable o de un tercero al que se cedan los datos, se requerirá una base legal muy sólida que respete los principios de estricta necesidad y proporcionalidad.

  • Podrían utilizarse cuando sea necesario para la protección de un interés vital del afectado en casos como rescates o catástrofes naturales.

  • Finalmente debe evaluarse con extraordinaria precisión la invocación del principio de interés legítimo y asegurar la no lesión o afección de los derechos de los afectados.

    2. Principio de calidad.

En esta materia el Grupo de Trabajo destaca la operatividad del principio de minimización y subraya cómo no puede la captación de imágenes por un drone debe ponerse en relación con otras posibilidades tecnológicas como la biometría[2]. En esencia se recomienda desarrollar análisis de impacto en la protección de datos personales (PIA) y operar desde los principios de protección de datos desde el diseño y por defecto estableciendo una adecuada relación de proporcionalidad entre la finalidad perseguida, el uso de los drones y el impacto en los derechos de las personas. Debe recordarse aquí, desde un punto de vista estrictamente español las consideraciones realizadas anteriormente a propósito de la proporcionalidad en la grabación de sonidos (STC 98/2000 y art. 6 de la Ley de videovigilancia).

3. Información en la recogida de datos.

  En esta materia la dificultad es extrema y la tentación de usar la posibilidad de exención de este deber máxima. El Grupo de Trabajo recomienda un enfoque multicanal. Es decir, el responsable debe realizar un esfuerzo informativo multinivel. Ello afecta al diseño de la aeronave, por ejemplo de modo que sea reconocible o visible la marca, o en el uso de placas equivalentes alas de la matrícula. El primer espacio evidente, recomendable e incluso obligatorio será el de la página web del responsable y cualquier entorno de red social vinculado con él o el tratamiento. A partir de aquí las estrategias pueden ser muy diversas y ajustadas al caso concreto. Por ejemplo, en el marco de un espectáculo deportivo puede incorporarse información a las entradas y carteles. Del mismo modo si hay una concurrencia de medios, cámaras tradicionales y drones, debería aprovecharse la señalética convencional para informar. La conclusión del Grupo apunta a emplear al máximo nuestra imaginación usando señales acústicas, lumínicas, colores brillantes…

4. Seguridad.

Las recomendaciones en esta materia aportan poco desde la experiencia española. En nuestro caso sería necesario aplicar el Título VIII del Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Orgánica 15/1999, de 13 de diciembre, de protección de datos de carácter personal. No obstante, existe al menos un ámbito en el que convendría aplicar una medida de nivel alto, el blindaje de las comunicaciones, con independencia del nivel de seguridad atribuible al fichero. Cuando el drone comunique imágenes mediante sistemas inalámbricos parece prudente prever una medida de este tipo.

El documento del Grupo de Trabajo contiene finalmente una síntesis de recomendaciones sectoriales cuya lectura resulta altamente recomendable.

[1] ARTICLE 29 DATA PROTECTION WORKING PARTY. Opinion 01/2015 on Privacy and Data Protection Issues relating to the Utilisation of Drones. 01673/15/EN WP 231.

[2] GRUPO DE TRABAJO DEL ARTÍCULO 29. Dictamen 3/2012 sobre la evolución de las tecnologías biométricas. 00720/12/ES WP193.