El RGPD aplicado a la toma de imágenes aéreas
Un dron que filma hace dos cosas a la vez: una operación aérea y un tratamiento de datos personales. Los dos regímenes son independientes, y estar en regla con uno no dice nada del otro.
Para recordar
- El artículo 4, punto 1), del RGPD define los datos personales como toda información sobre una persona física identificada o identificable, directa o indirectamente. Un rostro, una matrícula, una silueta en un lugar conocido bastan.
- No es su intención de identificar lo que activa el RGPD, es la posibilidad objetiva de identificación. El razonamiento por la intención es la trampa más frecuente de esta materia.
- La excepción de la actividad exclusivamente personal o doméstica (art. 2, apdo. 2, letra c)) es real pero estrecha: el considerando 18 precisa que esas actividades no tienen conexión alguna con una actividad profesional o comercial. El criterio es la naturaleza de la ACTIVIDAD, no el estatuto de la persona ni la masa de la aeronave.
- El Tribunal de Justicia cerró esa excepción para las tomas dirigidas al espacio público: en el asunto Ryneš juzga que una videovigilancia que se extiende, aunque sea en parte, al espacio público abarca una zona ajena a la esfera privada de quien procede al tratamiento.
- El consentimiento no es la única base jurídica: el artículo 6, apdo. 1, ofrece seis: consentimiento, contrato, obligación legal, intereses vitales, misión en interés público, interés legítimo. Este último supone una ponderación, y el texto contempla nominalmente el caso en que el interesado sea un niño.
- La minimización de datos (art. 5, apdo. 1, letra c)) se juega en la RECOGIDA, no en el montaje: filmar en continuo la ida y la vuelta cuando bastaban unas tomas del tejado excede la finalidad declarada.
- Las imágenes que revelan opiniones políticas o convicciones religiosas entran en el artículo 9, apdo. 1, que establece una prohibición de principio que solo las excepciones del apdo. 2 pueden levantar. El carácter público de una concentración no cambia nada.
- El responsable del tratamiento es quien determina los fines y medios del tratamiento (art. 4, punto 7)): es usted cuando filma con su propio dron, por su propia cuenta. El artículo 5, apdo. 2, añade la obligación de poder DEMOSTRAR el cumplimiento.
La trampa. Los dos textos no se solapan, pero se cruzan: el artículo 15, apdo. 1, del Reglamento 2019/947 permite a un Estado crear una zona geográfica de UAS por razones de privacidad, y el artículo 2, punto 4), que define esas zonas, les añade la protección de los datos personales. Un mapa aeronáutico puede, por tanto, traducir una restricción que no tiene nada de aeronáutico.
Fuente
Reglamento (UE) 2016/679 (CELEX 02016R0679, consolidado el 04/05/2016) (RGPD), art. 2, apartado 2, letra c) y considerando 18, art. 4, puntos 1) y 7), art. 5, apartado 1, letra c) y apartado 2, art. 6, apartado 1, y art. 9, apartado 1 y apartado 2; TJUE, 11 de diciembre de 2014, Ryneš, C-212/13, apdo. 33 (CELEX 62013CJ0212); Reglamento de Ejecución (UE) 2019/947 (CELEX 02019R0947, consolidado el 01/05/2025), art. 15, apartado 1