Universo Compliance: drones ¿ficción o realidad?

Por Marta Escudero González, Asociada Senior del Área de Governance, Risks & Compliance de ECIX

Desde que la prensa publicara a principios de diciembre que Amazon estaba probando el envío de paquetes con drones, las noticias sobre estos “robots voladores” se han multiplicado. No obstante, desde hace tiempo conocíamos el uso que Estados Unidos venía haciendo de estos aparatos con fines militares en países como Pakistán o Yemen, pero ha sido el uso de esta tecnología con fines civiles la que ha hecho despertar nuestra preocupación por los riesgos inherentes a la utilización de este tipo de tecnología.

Definición y finalidades. Antes de entrar en materia es preciso conocer el contexto en el que nos movemos. En primer lugar, un dron es un vehículo aéreo no tripulado, reutilizable y con distintos tipos de autonomía y tamaño en función de la finalidad para la que vayan a destinarse.

Y es que los usos para los que se prevé su utilización son innumerables: vigilancia y control de fronteras, rescates y situaciones de emergencia, prevención y control de incendios, labores de protección ambiental, vigilancia y seguridad en concentraciones masivas de personas, logística en la entrega de mercancías, grabación y monitorización del tráfico, agricultura de precisión y monitorización de los campos, además, por supuesto de los fines militares ya conocidos.

Sin embargo, debe tenerse en cuenta que muchos de estos proyectos que estamos conociendo día tras día en las noticias, en la actualidad no resultan del todo viables teniendo en cuenta la legislación vigente. En este sentido, por ejemplo en Estados Unidos no están permitidos los vuelos de drones con fines comerciales, ya que únicamente está autorizada su utilización por entidades públicas, como la policía.

Precisamente en Estados Unidos estaba previsto que los drones pudieran volar libremente en septiembre de 2015. Sin embargo la Administración Federal de Aviación (FAA) ha determinado que no será posible cumplir ese plazo porque no se puede garantizar la seguridad teniendo en cuenta el desarrollo que ha experimentado este sector en los últimos tiempos, por lo que ha decidido abrir un periodo experimental en el que se tratará de garantizar que los drones participantes no interfieren entre sí ni con aviones tripulados, que son capaces de detectar otros objetos voladores que sus sistemas de control no son susceptibles de ser intervenidos por hackers y que respetan la privacidad. En nuestro país tampoco existe regulación específica al respecto, aunque ya se están desarrollando iniciativas de cooperación entre algunos países miembros de la Unión Europea.

Ahora bien, teniendo en cuenta los intereses económicos depositados en este sector y los beneficios que para la sociedad puede conllevar la correcta utilización de este tipo de tecnología, es probable que los distintos países procedan a la regularización de la utilización progresiva de estos drones, siempre con determinadas cautelas, como es la adopción de medidas para garantizar la seguridad en el vuelo de estos vehículos y el respecto a la privacidad.

Vulneración de la privacidad. Lo primero que nos viene a la cabeza son los millones de camaritas que podrían pulular a nuestro alrededor sin ser, ni siquiera, conscientes de ello. No solo captando nuestra imagen, sino incorporando sistemas de geolocalización, reconocimiento facial, etc. Es lógico, por tanto, que exista gran preocupación por la invasión que la utilización de este tipo de tecnología podría conllevar para nuestra vida privada.

En este sentido, debemos recordar que la utilización de cámaras en estos “robots voladores” implicaría en muchos casos la grabación en la vía pública y a día de hoy únicamente las Fuerzas y Cuerpos de Seguridad están legitimados para hacerlo, y para ello es necesario que obtengan una autorización de la Comisión de Garantías de Videovigilancia y su inscripción en el registro de autorizaciones, de conformidad con la Ley Orgánica 4/1997, de 4 de agosto, por la que se regula la utilización de videocámaras por las Fuerzas y Cuerpos de Seguridad en lugares públicos y el Real Decreto 596/1999, de 16 de abril, por el que se aprueba su Reglamento de desarrollo.
La posibilidad de que sujetos privados (empresas o particulares) graben imágenes con fines de videovigilancia en la vía pública, a día de hoy no está contemplada en nuestra legislación, por lo que en este momento no sería posible la utilización de drones que incorporasen un sistema de grabación de imágenes con fines comerciales por parte de una empresa.

En todo caso, los principios que rigen en materia de videovigilancia son perfectamente trasladables a la grabación con drones: proporcionalidad, calidad, información, seguridad, cancelación, etc… No obstante sí resultaría necesario realizar cambios en el modo de garantizar el cumplimiento de tales principios, entendiendo por ejemplo que el cartel de videovigilancia al que estamos tan acostumbrados ya no sería suficiente para cubrir el derecho de información o que se van a plantear dificultades a la hora de establecer los límites a la proporcionalidad de las grabaciones si, por ejemplo, los drones de una empresa de logística graban los trayectos que realizan para evitar que sus mercancías sean robadas por terceros.

No obstante, si bien no es imperativo que todos los drones dispongan de cámaras, la mayoría de un modo u otro van a recopilar datos personales y esto implica que en todo caso, se deba cumplir la normativa de protección de datos y además de los principios reguladores de la normativa, las medidas de seguridad previstas en el Reglamento que desarrolla la LOPD.

Conciliación de intereses: Vistos los riesgos y conociendo los intereses económicos puestos en este sector a raíz de todas las iniciativas que se han publicado en las noticias en los últimos días, resulta necesario plantear cómo podemos conjugar ambos aspectos de manera que el resultado sea positivo en términos globales. Y para ello debemos acudir a uno de los conceptos recogidos en la propuesta de Reglamento Europeo de Protección de Datos, en cuyo artículo 33 se refiere a lo que conocemos como PIA o Informes de Impacto de Privacidad:

“1. Cuando las operaciones de tratamiento entrañen riesgos específicos para los derechos y libertades de los interesados en razón de su naturaleza, alcance o fines, el responsable o el encargado del tratamiento que actúe por cuenta del responsable llevarán a cabo una evaluación del impacto de las operaciones de tratamiento previstas en la protección de datos personales.

2. Las siguientes operaciones de tratamiento, en particular, entrañan los riesgos específicos contemplados en el apartado 1:

c) el seguimiento de zonas de acceso público, en particular cuando se utilicen dispositivos optoelectrónicos (videovigilancia) a gran escala”

Por tanto, de acuerdo con la propuesta de Reglamento, cuando se vayan a utilizar dispositivos de videovigilancia a gran escala (que será el supuesto de los drones que incorporen sistemas de registro de imágenes) será necesario realizar un análisis del impacto que esta tecnología tiene en el tratamiento de datos.

Ahora bien, ¿qué es y qué supone un PIA? De acuerdo con la definición que se da en el libro Reflexiones sobre el futuro de la Privacidad en Europa (del Data Privacy Institute), un PIA es un “proceso o metodología para determinar los riesgos o impactos que una propuesta o un proyecto tiene en la privacidad de los individuos así como para determinar los medios o soluciones para mitigar o evitar dichos riesgos o impactos negativos”.

Es decir, las empresas interesadas en utilizar drones tienen que realizar este análisis en el que se deberán valorar los datos que se recaben, la finalidad para la que los mismos se vayan a emplear, el espacio que vaya a ser registrado (vía pública o espacios privados), los sistemas que se vayan a utilizar, analizar los riesgos que existen e implantar las medidas correctoras y de mejora para mitigar todos los riesgos existentes y ofrecer las mayor transparencia posible a los ciudadanos.

Como conclusión, la posibilidad de que un dron llame a la puerta con nuestra última compra on line es aún lejana, sin embargo parece que todo apunta a que estas iniciativas continuarán desarrollándose y perfeccionandose, por lo que se hace necesario que de manera paralela se vayan produciendo desarrollos legislativos que regulen este nuevo escenario de modo que se garantice en todo momento la privacidad de los ciudadanos. Y en este punto resulta muy importante, independientemente de que se llegue a aprobar o no la propuesta del Reglamento Europeo de Protección de Datos, que las propias empresas se involucren realizando sus informes de impacto en la privacidad, llevando a cabo, desde el inicio de los proyecto, todos los aspectos necesarios para mitigar riesgos.