Control de aforoy mapas de calor: hasta dónde llega la privacidad
Un mapa de calor de una nave o una tienda, generado a partir de cámaras con inteligencia artificial, es, a primera vista, lo más inofensivo que puede salir de una cámara: ni nombres, ni rostros, solo manchas de color que muestran dónde se concentra la gente. Esa apariencia inofensiva es, precisamente, lo que hace que muchos proyectos de control de aforo se instalen sin pasar por la pregunta de si están tratando datos personales. La respuesta casi siempre es que sí, al menos en algún punto de la cadena.
El mapa de calor no es el dato que hay que mirar
El resultado final de un sistema de aforo suele ser un agregado: cuántas personas hay en una zona, en qué franja horaria, sin ningún identificador asociado. Pero el RGPD no se aplica solo al resultado, se aplica a todo el tratamiento, y ese tratamiento empieza en la cámara, que capta personas reales antes de que cualquier algoritmo las convierta en una mancha de color. Si esas imágenes en bruto se transmiten o se almacenan en algún punto de la cadena, ahí hay datos personales, aunque nadie llegue nunca a verlas ni a extraer nada identificable de ellas.
Esta distinción entre el dato de entrada y el dato de salida es, con diferencia, la que más confusión genera en las propuestas comerciales de este tipo de sistemas: un proveedor puede describir su producto como anónimo con total sinceridad, refiriéndose al informe que entrega al cliente, sin que eso diga nada sobre cómo trata el vídeo bruto entre la cámara y ese informe.
Contar no es lo mismo que seguir
Hay una línea que cambia por completo el nivel de riesgo de un proyecto de aforo. Una cosa es contar cuánta gente hay en una zona en un momento dado, un dato agregado que no permite reconstruir el recorrido de nadie. Otra muy distinta es seguir a una persona concreta por la planta, registrando su trayecto y el tiempo que pasa en cada punto. Ese segundo escenario, el tracking individual, genera un patrón de comportamiento único que puede acabar reidentificando a la persona si se cruza con otra fuente de datos, como una tarjeta de acceso o un ticket de compra.
Las Directrices 3/2019 del Comité Europeo de Protección de Datos sobre dispositivos de vídeo sitúan la monitorización sistemática de un espacio a gran escala entre los tratamientos de alto riesgo, precisamente por este motivo. La diferencia práctica entre los dos escenarios se resume así:
| Contar (aforo agregado) | Seguir (tracking individual) | |
|---|---|---|
| Qué se conserva | Un número por zona y franja horaria | Un recorrido asociado a cada persona |
| Riesgo de reidentificación | Bajo, salvo zonas con muy poca afluencia | Alto si se cruza con otra fuente de datos |
| ¿Necesita EIPD? | Normalmente no, si el diseño descarta el vídeo bruto | Sí, por tratarse de monitorización sistemática |
El diseño que reduce el riesgo real
La diferencia entre un sistema de aforo bien planteado y uno que solo parece anónimo está casi siempre en el diseño técnico. Con carácter general, la medida que más reduce el riesgo es el procesamiento en el propio dispositivo, extrayendo el conteo directamente en la cámara y descartando el vídeo bruto sin transmitirlo ni almacenarlo. La posición cenital de la cámara, mirando hacia abajo en lugar de de frente, ayuda porque capta siluetas y cabezas en lugar de rostros reconocibles. Y agregar el dato por zona y por franja horaria, en lugar de conservar registros individuales, evita que el sistema pueda reconstruir el recorrido de una persona concreta aunque alguien lo intentara.
Los sistemas de control de aforo de Ironsys se configuran conforme a la normativa vigente en protección de datos y videovigilancia, y admiten este tipo de planteamiento. Qué medidas concretas aplican en cada instalación depende del diseño del proyecto y conviene fijarlo por escrito antes de la puesta en marcha.
Dos aforos, dos regímenes
El planteamiento legal no es el mismo según a quién se cuente. Si el sistema mide la ocupación de plantilla en su zona de trabajo, es una forma de control laboral y se rige por lo mismo que vimos en la entrada anterior de este bloque sobre PRL con visión artificial: el poder de vigilancia del artículo 20.3 del Estatuto de los Trabajadores, con el deber de informar previamente a la plantilla y a sus representantes que impone la LOPDGDD.
Si el sistema cuenta clientes o visitas en una zona accesible al público, la base legal es distinta, normalmente el cumplimiento de un límite de aforo exigido por normativa o el interés legítimo de gestionar colas y flujos. Pero la obligación de informar sigue estando ahí, y si el despliegue implica una vigilancia sistemática y a gran escala de un espacio de acceso público, entra en juego además la exigencia de una evaluación de impacto previa.
Informar aunque no haya cara que reconocer
Un error habitual es asumir que, si el sistema está diseñado para no guardar ni un rostro, la señalización deja de ser necesaria. No es así. La cámara sigue captando personas en el momento de la toma, y eso activa el deber de informar que recoge la guía de la AEPD sobre el uso de videocámaras para seguridad y otras finalidades, con independencia de lo anónimo que sea el resultado final del análisis. El argumento de que es anónimo explica por qué el riesgo del proyecto es menor, no por qué se pueda prescindir del cartel.
Lo que conecta a las tres entradas de octubre
Las tres entradas de este hilo comparten una misma idea de fondo: la tecnología no decide por sí sola su nivel de riesgo, lo decide cómo se diseña. Un lector biométrico, una cámara de PRL o un sistema de aforo pueden convivir perfectamente con el RGPD si el proyecto se plantea con esa pregunta por delante, o pueden acabar en una sanción si se instalan primero y se justifican después. Ese orden, pensar antes de instalar en lugar de instalar y esperar que nadie pregunte, es la diferencia real entre cumplir la norma y limitarse a parecer que se cumple.
Este artículo cierra el hilo conductor de octubre sobre datos personales y cumplimiento en la gestión de personas, que arrancó con la biometría en control de accesos y siguió con la videovigilancia aplicada a PRL.
Si estás valorando un sistema de aforo o de mapas de calor para tu planta o tu centro logístico, cuéntanos tu caso y lo revisamos contigo.