El Consejo de Transparencia y Protección de Datos de Andalucía ha elaborado unas ‘Orientaciones para la protección de datos en sistemas de videovigilancia con analítica de vídeo basada en inteligencia artificial’ dirigidas a los responsables del tratamiento del sector público en Andalucía y, en particular, a las entidades locales que se planteen contratar o desplegar estos mecanismos.
Su objetivo es proporcionar un marco práctico para su evaluación desde la perspectiva de la protección de datos personales, identificando las obligaciones normativas aplicables y las buenas prácticas aplicables.
Los sistemas de videovigilancia con inteligencia artificial disponibles hoy en el mercado permiten, además de la captación, grabación y visualización de imágenes, la detección y clasificación automática de personas, vehículos y otros objetos, su seguimiento a través de múltiples cámaras, la búsqueda por sus características, la detección de comportamientos calificados como anómalos, el análisis de expresiones faciales o la captación y clasificación de sonido ambiente.
Estas capacidades pueden resultar valiosas para determinadas finalidades legítimas de la gestión pública. Sin embargo, la experiencia muestra que los pliegos de prescripciones técnicas para la adquisición de estos equipos y sistemas se configuran en ocasiones como catálogos de funcionalidades tecnológicas desconectados del análisis de licitud, necesidad y proporcionalidad que el RGPD exige. De este modo, la administración puede acabar disponiendo de capacidades cuyo alcance excede de las finalidades declaradas.
La inteligencia artificial aplicada a la videovigilancia puede aportar valor significativo a la gestión pública cuando se diseña y utiliza de forma proporcionada y respetuosa con los derechos fundamentales. La entrada en vigor del Reglamento de Inteligencia Artificial (RIA) refuerza esta exigencia, estableciendo prohibiciones expresas para determinados usos y obligaciones específicas para los sistemas de alto riesgo. Lo que estas orientaciones promueven es que las decisiones de contratación se adopten con plena conciencia de sus implicaciones para la protección de datos personales de los ciudadanos.
Este documento parte de una premisa: la captura de imágenes en espacios públicos es un tratamiento de datos personales, si mediante ellas es posible identificar a las personas, directa o indirectamente, aunque posteriormente se adopten técnicas de anonimización u otras medidas de seguridad.
El punto de partida no debe ser la tecnología disponible, sino las finalidades que la administración necesita alcanzar en el ejercicio legítimo de sus competencias. Solo una vez determinadas las finalidades, identificada la base jurídica de cada tratamiento y evaluada su necesidad y proporcionalidad, procede definir las funcionalidades técnicas requeridas. Lo que no responda a una finalidad legítima y proporcionada no debe adquirirse ni desplegarse, con independencia de su disponibilidad en el mercado.
El documento comienza realizando una revisión de las capacidades tecnológicas más destacadas de los sistemas actuales, porque el responsable del tratamiento necesita comprender qué puede hacer la tecnología antes de decidir qué debe hacer con ella. A partir de esa revisión, se analizan las fases que todo responsable debería completar antes de la contratación: la determinación de finalidades, el análisis de la base jurídica, la traducción de las obligaciones normativas en especificaciones técnicas, las consideraciones específicas sobre decisiones automatizadas y, finalmente, el marco de diligencia y rendición de cuentas. El documento concluye con una lista de verificación que sintetiza las obligaciones y recomendaciones esenciales.