Los geoportales con fotografías panorámicas tipo Street View se han consolidado como herramientas habituales para la gestión territorial y, cada vez más, para el uso ciudadano. Sin embargo, desde el punto de vista de la normativa de protección de datos, la mera ofuscación de rostros como práctica estándar puede resultar insuficiente para evitar la identificación de personas. Este artículo analiza cuándo las imágenes siguen constituyendo datos personales y qué requisitos debería cumplir una anonimización efectiva.
Cada vez son más habituales los visores que incorporan fotografías panorámicas 360º, permitiendo navegar por el mapa y abrir vistas de las calles. En Geograma sabemos muy bien que algunas de estas plataformas, además, ya ofrecen funcionalidades avanzadas: medición de distancias, alturas, pendientes y ángulos; extracción de coordenadas; exportación de datos; y otras herramientas de análisis geoespacial. Un buen ejemplo de ello ha sido la solución GeoCassini implantada en colaboración con la Diputación Foral de Gipuzkoa, que permite a cualquier usuario realizar mediciones 3D sobre nubes de puntos e imágenes 360° del Territorio Histórico.
Este tipo de geoportales tiene un marcado componente técnico y está orientado, principalmente, a prestar servicio a profesionales vinculados al urbanismo y la gestión territorial. Permiten revisar mobiliario urbano, señalización, geometría de calles y elementos de la vía pública, entre otros. Sin embargo, aunque muchas funcionalidades suelen estar restringidas a perfiles profesionales, cada vez más plataformas incorporan una parte pública a la que cualquier ciudadano puede acceder para consultar determinados datos.
Generalmente, cuando esa parte pública incluye un visor de fotografías panorámicas, cualquier usuario puede navegar por las calles de una ciudad o por cualquiera que sea el ámbito territorial cubierto. En estos casos, para generar las panorámicas se ha realizado previamente una captura de datos mediante tecnología Mobile Mapping, que recoge las imágenes de forma masiva.
La respuesta es sí, al menos cuando en esas imágenes aparecen personas identificadas o identificables.
Cuando un sistema de captura recoge imágenes cada pocos metros en una calle, especialmente en entornos urbanos, es habitual que se registren personas transitando por la vía pública, personas en espacios visibles desde la calle e incluso elementos asociados a viviendas o negocios. También es frecuente que se capten matrículas de vehículos.
Por tanto, la captación de información mediante tecnología de captura geoespacial móvil puede comportar la recogida indirecta y accesoria, aunque masiva, de datos personales correspondientes a miles de personas. Además, en la mayoría de los casos, esas personas difícilmente son conscientes de que la captura se está produciendo, ni de cómo serán tratados posteriormente esos datos.
La base jurídica para realizar este tipo de tratamientos suele apoyarse, en el caso de administraciones públicas, en el artículo 6.1.e del Reglamento General de Protección de Datos (RGPD), que permite el tratamiento necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos. En otros supuestos, dependiendo del responsable y de la finalidad concreta, podría invocarse el interés legítimo.
En cualquier caso, si se captan datos personales, estos deben tratarse conforme a la normativa. Y si las imágenes van a ser publicadas o puestas a disposición de terceros, resulta especialmente relevante aplicar técnicas de anonimización eficaces, robustas e irreversibles en términos prácticos.
De acuerdo con el RGPD, constituye dato personal cualquier información relativa a una persona física identificada o identificable. Resulta especialmente relevante detenerse en el concepto de “identificable”. Una persona física es identificable cuando puede ser determinada, directa o indirectamente, mediante elementos como su nombre, DNI, matrícula del vehículo, datos de localización, rasgos físicos, económicos, culturales o sociales.
Desde esta perspectiva, tanto la matrícula de un vehículo como el rostro de una persona pueden permitir o facilitar su identificación. No obstante, en las imágenes captadas mediante tecnología de Mobile Mapping pueden aparecer, además, otros elementos que contribuyan a dicha identificación, como la ubicación, la fecha en que se tomó la imagen, el contexto, la vestimenta, la complexión física, los objetos que porta la persona o su proximidad a un domicilio, lugar de trabajo u otro espacio especialmente vinculado a ella.
El Dictamen 4/2007 (WP136) del antiguo Grupo de Trabajo del Artículo 29 ya decía que un dato personal no tiene por qué ser solo el rostro, el nombre o un identificador directo. También puede ser información del entorno o del contexto si, combinada con otros elementos, permite identificar a una persona. Por eso, en algunas imágenes con la cara pixelada pueden seguir existiendo datos personales si la persona puede reconocerse por la ubicación, la ropa, la postura, el lugar o el conjunto de la escena.
Aunque los rostros aparecen difuminados, el aparente menor y la persona adulta siguen siendo reconocibles por su cuerpo, ropa, estatura, postura y relación entre ambos. Además, aparecen en la entrada de un establecimiento concreto, lo que puede facilitar su identificación o asociarlos con una ubicación determinada.
Una anonimización efectiva debería cubrir a las personas en su conjunto, no solo el rostro. Al ocultar cuerpo, vestimenta, postura y otros rasgos asociados, se reduce el riesgo de identificación o reidentificación, especialmente cuando la escena incluye menores de edad o permite vincular a las personas con una ubicación concreta. (Imagen anonimizada empleando SafeMoMa).
Por lo tanto, la combinación de estos datos, en determinados contextos, puede hacer factible la identificación de una persona y afectar de manera especialmente intensa a su intimidad, dignidad, derechos y libertades. Así puede ocurrir, por ejemplo, cuando la imagen o la información asociada permite inferir convicciones religiosas o políticas, el estado de salud o situaciones de especial vulnerabilidad, entre otras circunstancias.
Por ello, las medidas técnicas a aplicar no deben limitarse exclusivamente y de manera general al pixelado del rostro. Incluso cuando una persona aparece de espaldas o su cara no resulta visible, la identificación puede producirse por la combinación de diversos elementos presentes en la imagen. En consecuencia, el responsable del tratamiento no puede entender cumplidas sus obligaciones en materia de protección de datos por el mero hecho de que no se aprecie el rostro de la persona afectada.
Aunque los rostros aparecen difuminados, las personas siguen siendo reconocibles por su cuerpo, vestimenta, postura, ubicación y relación con la escena. La presencia de agentes uniformados y vehículos policiales permite asociar a las personas con una posible actuación policial, lo que incrementa el riesgo para su privacidad.
Una anonimización reforzada debería ampliar la protección más allá del rostro y cubrir cuerpos, rasgos físicos, vestimenta, vehículos y otros elementos que puedan facilitar la identificación o vincular a una persona con un contexto policial concreto. Así se reduce tanto el riesgo de reidentificación como el de exposición de una situación potencialmente sensible. (Imagen anonimizada empleando SafeMoMa).
La valoración debe atender al conjunto de la información disponible, al contexto de la captura y al riesgo real de identificación o reidentificación.
En este sentido, la normativa de protección de datos es clara: cuando el tratamiento permite identificar directa o indirectamente a una persona física, resultan aplicables las obligaciones previstas en el RGPD. Su incumplimiento puede dar lugar a la intervención de las autoridades de control y, en su caso, a la imposición de sanciones económicas.
Aunque la persona aparece a cierta distancia, resulta visible su postura, ubicación y situación en la vía pública. La imagen puede permitir identificarla o asociarla a una situación de extrema vulnerabilidad, exponiendo información especialmente sensible sobre su contexto personal o social.
Una anonimización reforzada debería cubrir a la persona en su conjunto, no solo el rostro. Al ocultar el cuerpo, la postura, la vestimenta y el contexto inmediato, se reduce el riesgo de identificación y se evita la exposición pública de una situación potencialmente sensible, reforzando así la protección de los derechos y libertades de las personas afectadas. (Imagen anonimizada empleando SafeMoMa)
Aquí persiste una confusión importante y la respuesta es no. En muchos visores que ofrecen fotografías panorámicas, la técnica habitual consiste en pixelar el rostro de las personas que aparecen en la vía pública. En el mejor de los casos, esta ofuscación oculta los rasgos faciales y constituye una medida relevante para dificultar la identificación, pero no suficiente.
Sin embargo, desde la perspectiva del RGPD, anonimizar exige algo más. La anonimización debe impedir, de forma práctica y razonable, que la persona pueda ser identificada por el responsable del tratamiento o por terceros mediante medios razonablemente disponibles.
Por tanto, si una persona aparece en una calle concreta, vestida de una forma determinada, con determinados rasgos físicos, junto a ciertos objetos o en un contexto que permite reconocerla, puede seguir siendo identificable aunque su rostro esté pixelado. En este caso, identificable no significa que la persona tenga que ser reconocible por toda la población, sino que pueda ser identificada por alguien utilizando medios razonablemente disponibles. No es lo mismo una imagen de una calle concurrida de una gran ciudad, donde una persona aparece con el rostro pixelado y sin elementos especialmente distintivos, que una imagen tomada en un pueblo de 500 habitantes delante de una vivienda concreta. En el primer caso, el riesgo de identificación puede ser residual; en el segundo, la ubicación, la vivienda, la ropa, la complexión o la rutina diaria pueden permitir que vecinos o personas del entorno reconozcan a la persona, aunque el público general no pueda hacerlo.
En consecuencia, en los visores públicos que incluyen fotografías panorámicas tipo Street View, la ofuscación exclusiva del rostro puede no ser suficiente para alcanzar una anonimización efectiva. Como es lógico, el RGPD no exige una imposibilidad matemática absoluta de reidentificación, pero sí requiere que no exista una probabilidad razonable de identificar de nuevo a la persona, teniendo en cuenta factores como el coste, el tiempo necesario y la tecnología disponible.
Aunque se haya aplicado un ligero pixelado del rostro, la persona sigue siendo potencialmente reconocible por otros elementos: perfil, complexión, ropa, postura y contexto. Además, aparece en una ubicación concreta, junto a un portal concreto y realizando una acción determinada. Por tanto, aunque el rostro esté parcialmente difuminado, la imagen conserva elementos suficientes para permitir o facilitar su identificación.
Una anonimización fortalecida debería extenderse más allá del rostro y cubrir el cuerpo y otros rasgos asociados a la persona. De este modo, se reduce el riesgo de identificación por combinación de elementos como vestimenta, complexión, postura, ubicación y contexto urbano. (Imagen anonimizada empleando SafeMoMa).
Aunque los rostros aparecen difuminados, las personas pueden seguir siendo reconocibles por otros elementos, como el cuerpo, los acompañantes, los objetos personales y la ubicación. Además, al situarse la escena ante un centro de culto, el contexto puede permitir inferencias sobre categorías especiales de datos, como las convicciones religiosas de las personas presentes..
Una anonimización efectiva no debería limitarse al rostro: debe cubrir cuerpos, rasgos físicos, vestimenta y otros elementos que, combinados con la ubicación y el contexto, podrían facilitar la identificación o reidentificación de las personas. (Imagen anonimizada empleando SafeMoMa).
En Geograma trabajamos precisamente en esta dirección. Cuando realizamos levantamientos mediante tecnología Mobile Mapping con medios propios, o cuando un cliente nos solicita el anonimizado de panoramas ya capturados, perseguimos un objetivo claro: reducir el riesgo de identificación o reidentificación de las personas afectadas hasta niveles razonablemente residuales, manteniendo al mismo tiempo la máxima utilidad de los datos relevantes para el proyecto.
Para ello, con SafeMoMa, aplicamos técnicas de ofuscación no solo para ocultar el rostro, sino también para limitar o eliminar otros elementos de la imagen que, por sí solos o en combinación con el contexto, puedan permitir identificar a una persona. Este enfoque permite trabajar con información anonimizada o altamente desidentificada, minimizando los riesgos jurídicos y técnicos asociados al tratamiento y reforzando el respeto a los derechos de las personas afectadas.
Anonimizar correctamente no consiste únicamente en pixelar caras. Consiste en comprender qué elementos pueden hacer identificable a una persona y aplicar medidas suficientes para impedir, de forma razonable y efectiva, su identificación.
Créditos: Para ilustrar este artículo se han utilizado imágenes reales procedentes del visor Catalunya Digital 3D Carrers del Institut Cartogràfic i Geològic de Catalunya (ICGC), con el único propósito de documentar y analizar las implicaciones de privacidad derivadas de la publicación de imágenes del espacio público. Sobre dichas imágenes se ha aplicado posteriormente la herramienta de anonimización SafeMoMa, desarrollada por Geograma, para mostrar de forma comparativa cómo una anonimización reforzada puede reducir los riesgos de identificación.
Publicado por: Iker Zaldívar López, responsable de sistemas y delegado de protección de datos en Geograma
