Protección de datos y drones: qué dice la AEPD y qué obliga

Cuando una comunidad de propietarios encarga documentar su fachada, o una industria su cubierta, nadie está pensando en protección de datos y drones. Pero un vuelo sobre un edificio habitado capta ventanas, terrazas, patios y, con cierta frecuencia, a alguien tendiendo la ropa. La Agencia Española de Protección de Datos tiene una guía específica para esto, y conviene conocerla porque contiene una regla que sorprende a casi todo el mundo.

Este artículo resume qué dice esa guía, dónde encaja un trabajo técnico, qué hay que hacer antes de volar y quién responde de qué cuando el encargo es de empresa a empresa.

Los tres tipos de operación que distingue la AEPD

La guía «Drones y Protección de Datos» clasifica las operaciones según qué papel juega el dato personal en ellas. La clasificación importa porque determina qué obligaciones te caen encima.

Un trabajo técnico está siempre en el tipo 2. Documentar una cubierta o levantar una parcela no busca datos de nadie, pero es previsible que en segundo plano aparezcan personas, viviendas próximas, vehículos o zonas de recreo. La guía lo dice con esas palabras y da la recomendación operativa: reducir esa presencia planificando cuándo y cómo se vuela.

Volar mal convierte el dato en ilícito

Esta es la regla que justifica el artículo entero, y está en el apartado de pasos previos de la guía.

La AEPD establece que cuando la operación de un dron vulnera la normativa nacional de aviación a la que está sujeta, o cualquier otra que deba cumplir, se considera que la captación y el tratamiento de datos realizados durante esa operación no cumplen el principio de licitud del RGPD, y quedan por tanto sujetos al régimen sancionador de protección de datos. Y lo aclara: sin perjuicio de que además pueda aplicarse el régimen sancionador aeronáutico.

Traducido a la decisión de contratar: la comprobación del espacio aéreo y de las zonas geográficas UAS no es un trámite del proveedor que a ti no te afecta. Si el vuelo se hace donde no se podía, el material resultante nace viciado también en materia de datos, y ahí el responsable del tratamiento eres tú. Los tres permisos que hay que resolver antes están en permisos para volar en una obra.

Quién responde: responsable y encargado

En un encargo de empresa a empresa esta es la parte que hay que dejar por escrito, y casi nunca se hace.

La guía lo plantea así: si el tratamiento se realiza por encargo de un tercero que decide sobre la finalidad de las imágenes, ese tercero es el responsable del tratamiento y el operador del dron actúa como encargado. En ese caso la relación entre ambos debe estar regida por un contrato o acto jurídico que los vincule, y el encargado actúa solo siguiendo las instrucciones del responsable.

En la práctica, si eres la comunidad, la industria o el estudio que encarga el trabajo y decides para qué se van a usar las imágenes, el responsable eres tú. El operador procesa siguiendo tus pautas. Cuando el operador actúa por su cuenta como responsable, la guía señala que debe determinar la base jurídica aplicable —consentimiento, contrato, obligación legal, interés legítimo— y cumplir las obligaciones generales del RGPD.

Qué hay que hacer antes de volar

La guía enumera los pasos previos cuando la normativa de protección de datos resulta aplicable. Resumidos:

1. Comprobar la legalidad del vueloVerificar que la legislación permite operar ahí y si hace falta autorización de las autoridades aeronáuticas. Es el paso del que depende todo lo demás, por lo visto en el apartado anterior.
2. Analizar si hace falta evaluación de impactoAl definir la campaña, y antes de ejecutarla, se analiza la necesidad de evaluar los riesgos para los derechos y libertades. Si el tratamiento entra en los supuestos del RGPD o en la lista de la AEPD, la evaluación de impacto es obligatoria; si no lo es, hacerla se considera buena práctica. Se realiza por tipología de operación, no una vez por cada vuelo.
3. Si no procede, análisis de riesgosCuando no haya obligación de evaluación de impacto pero la operación entrañe riesgos, se hace un análisis de riesgos para adoptar garantías.
4. Cuidado con lo que se publicaLas imágenes de uso personal no deben publicarse en internet de forma accesible a un número indeterminado de personas cuando permitan identificar a alguien o muestren espacios de uso privado como viviendas, jardines o terrazas.
5. Garantizar la seguridad del vueloEvaluar previamente los objetivos de la operación asegurando la seguridad física y el cumplimiento de la normativa aeronáutica.

A eso la guía añade obligaciones de fondo que conviene conocer como cliente: elegir la tecnología a bordo más adecuada a la finalidad y no más, habilitar el deber de información a los afectados por el medio más apropiado —señalización, hojas informativas, avisos— indicando quién es el responsable, con qué finalidad y cómo ejercer sus derechos, minimizar la captura a lo estrictamente necesario, y eliminar o anonimizar cuanto antes cualquier dato personal innecesario.

Qué significa esto en un edificio con vecinos

Bajado al caso más frecuente, el de una fachada residencial, se traduce en cuatro cosas concretas.

• Avisar antes. No es cortesía: es el deber de información. Un aviso en el portal y a través del administrador, con quién hace el trabajo, para qué y durante cuándo.
• Planificar la ventana. Volar en horario de poca afluencia reduce la captación inadvertida, que es exactamente la recomendación de la AEPD para el tipo 2.
• Encuadrar hacia el paramento. La cámara mira a la fachada, no al interior de las viviendas. Lo desarrollamos en qué se documenta en una fachada y qué lo impide.
• Limitar el uso del material. Las imágenes son para el fin técnico del encargo. Publicarlas como referencia comercial es otra finalidad distinta y necesita autorización expresa.

Un matiz sobre la guía

Conviene señalarlo porque afecta a cómo se lee el documento. La guía de la AEPD remite en su articulado al Real Decreto 1036/2017 para los aspectos aeronáuticos —identificación, matriculación y obligaciones generales del operador—, mientras que la norma que desarrolla hoy el régimen jurídico de los UAS en España es el Real Decreto 517/2024, de 4 de junio.

La sustancia de protección de datos no cambia por eso: la clasificación de operaciones, el principio de licitud y las obligaciones del responsable siguen siendo las mismas. Lo que conviene es contrastar las referencias aeronáuticas concretas con la norma vigente en lugar de darlas por buenas tal cual aparecen en el documento.

Preguntas frecuentes