Una càmera grava persones. Això té amo, regles i terminis.

Hi ha dues converses de protecció de dades i es confonen tota l'estona. Una és què fa aquesta web amb el teu correu quan omples el formulari: responsable, base jurídica, terminis i drets. Això és un text legal, està escrit sencer i no és aquí.

L'altra és la que importa quan el que compres és un sistema que grava persones: càmeres generant imatges de treballadors, clients, proveïdors i gent que passa pel carrer, guardades en un disc del teu edifici, consultables per un grapat de persones i reclamables per qualsevol que hi surti. Aquesta és aquesta.

I el primer que cal aclarir és el que gairebé mai no s'aclareix: de tot això, la major part respon de tu.

Sembla una distinció d'advocats i és la que decideix qui contesta quan arriba una reclamació. El responsable és qui decideix per a què es grava, on es posen les càmeres, quant es guarda i qui pot mirar. Això ho decideixes tu, perquè és la teva instal·lació, el teu risc i la teva operació. I si l'Agència pregunta, pregunta a qui decideix.

Nosaltres som l'encarregat: tractem aquestes imatges per compte teu i només per al que ens has encarregat. Instal·lar, configurar, mantenir, i entrar a mirar quan hi ha una avaria o una posada a punt. No podem fer servir les teves imatges per a una altra cosa, no podem guardar-les al nostre costat pel nostre compte i no podem posar un tercer al mig sense que ho sàpigues i ho autoritzis.

Això no se sosté amb la bona voluntat: es signa. El contracte d'encàrrec de tractament és obligatori i diu per escrit per a què podem tractar, durant quant, amb quines mesures, qui dels nostres hi accedeix, què passa amb les dades quan s'acaba —es tornen o s'esborren, i s'acredita— i què fem si detectem un problema. Si un proveïdor de videovigilància no t'ha passat aquest contracte, et falta el document amb què defensar-te.

Es fan avaluacions d'impacte en protecció de dades de manera regular: l'exercici de seure a mirar un tractament i preguntar-se què pot sortir malament per a les persones afectades i què es fa perquè no passi. Quan un projecte teu en necessita una —i hi ha casos en què és obligatòria— sabem com es fa perquè la fem.

Es manté el registre d'activitats de tractament, que és l'inventari de quines dades es tracten, per a què, amb quina base, qui hi accedeix, a qui es comuniquen i quant es conserven. És el primer que demana l'autoritat de control quan apareix, i és també l'única manera de saber el que es té.

I hi ha Delegats de Protecció de Dades nomenats a les organitzacions del grup, que és la figura que supervisa tot això per dins i a qui es pot escriure. Aquí no publiquem el seu nom ni un correu personal: el contacte es facilita a qui el demani, pel canal de contacte d'aquesta web, i és el camí correcte per a un exercici de drets o per a una consulta de compliment.

Les mesures tècniques i organitzatives protegeixen les dades davant de pèrdua, alteració, accés no autoritzat o tractament il·lícit. Això ho diu la norma i així escrit ho signa qualsevol. La diferència és si algú de fora ha vingut a comprovar-ho.

Ho ha fet. La ISO/IEC 27001 certifica el sistema de gestió de seguretat de la informació, i la ISO/IEC 27701 va justament d'això: la gestió de la privacitat, que és l'extensió de l'anterior per a tractament de dades personals. Amb això, el teu departament d'informàtica demana el certificat i el comprova, en lloc d'enviar-nos un qüestionari de quaranta pàgines que després algú ha d'avaluar.

Protecció de dades des del disseny sona a document. En videovigilància és una cosa molt física: és l'alçada, l'angle i el zoom de cada càmera. Una càmera que cobreix la teva porta d'entrada i, de passada, trenta metres de vorera pública està tractant dades de gent que no té res a veure amb tu. Girada uns graus, deixa de fer-ho i segueix cobrint la porta. Aquesta decisió dura el que dura la instal·lació.

Els tres llocs on això s'incompleix gairebé sempre són els mateixos. La via pública: només es pot captar l'imprescindible de l'entorn de l'accés, i la resta es retalla o s'emmascara. La propietat del veí: la seva porta, la seva finestra i el seu jardí no són la teva instal·lació. I el lloc de treball: una càmera apuntant fixament a una taula concreta no és videovigilància de seguretat, és control laboral, i això té unes altres regles, una altra informació prèvia i una altra conversa amb el comitè.

Hi ha a més zones on no es posa càmera, i no és opinable: vestidors, lavabos, menjadors i zones de descans. Si al plànol n'apareix una allà, el plànol està malament.

Tot això es decideix al projecte, quan encara és gratis, i s'escriu: què cobreix cada càmera, què queda fora expressament i quines zones de la imatge van emmascarades. Les màscares es comproven sobre la imatge real i no sobre el plànol, i es tornen a comprovar al manteniment: una càmera que algú va recol·locar per veure millor el moll pot haver-se endut per davant l'enquadrament acordat.

Les imatges de videovigilància se suprimeixen en el termini màxim d'un mes des de la seva captació, tret de les que calgui conservar per acreditar fets que atemptin contra persones, béns o instal·lacions — i aquestes es conserven precisament per lliurar-les a qui les hagi d'investigar. Ho diu la llei espanyola de protecció de dades, i no és una recomanació.

L'ordre correcte, doncs, és fixar primer quant cal conservar i calcular després l'emmagatzematge. Passa molt sovint el contrari: es compra un disc folgat, el sistema acaba guardant tres mesos perquè hi caben i ningú no el va configurar per esborrar. Això és un incompliment silenciós, del qual ningú no s'assabenta fins que algú pregunta. En el que mantenim, l'esborrat automàtic és part de la configuració que s'entrega i de l'informe de revisió.

I funciona en l'altre sentit també. Un sistema que guarda set dies perquè el disc no dona per a més és un sistema que no serveix per al que es va comprar: els incidents es descobreixen tard, i l'enregistrament del dia que importava ja no existeix.

Qualsevol persona que hagi estat gravada pot demanar accés a les seves imatges, demanar que se suprimeixin quan ja no hi hagi motiu per conservar-les, oposar-se al tractament o reclamar davant de l'autoritat de control. Això no es negocia i hi ha un termini per contestar, que es compta en setmanes i no en mesos.

Sembla fàcil fins que toca fer-ho. Arriba una petició que diu «vaig ser al seu edifici el dia 14 al matí». Cal localitzar aquest tram a la càmera que correspongui, comprovar que aquesta persona és qui diu ser, extreure les imatges on apareix i lliurar-les sense revelar els altres que surten al mateix fotograma, que també tenen drets. I deixar-ne constància.

Un sistema que només permet mirar enrere càmera per càmera, sense buscar bé per data i hora, sense exportar un retall concret i sense registrar qui va exportar què, converteix cada petició en una tarda de feina i en una resposta dolenta. Localitzar, retallar, anonimitzar tercers i exportar amb registre és un requisit de protecció de dades, i es mira en triar el sistema i no quan arriba la primera carta.

Abans d'entrar en una zona videovigilada, la gent ha de saber que ho és. El cartell va al perímetre, visible abans d'entrar, no a la paret del fons del passadís. I ha de dir quatre coses: que la zona està videovigilada, qui és el responsable, per a què es grava, i on es pot consultar la resta de la informació i exercir els drets.

Això és la primera capa. La segona és el detall complet: base jurídica, terminis de conservació, destinataris, transferències si n'hi ha, i com reclamar. Ha d'estar disponible de debò —a recepció, a la intranet, en una adreça web— i no només esmentada.

L'error típic no és no tenir cartells: és tenir-los del proveïdor anterior, amb un nom d'empresa que ja no és el responsable, o posats a tres dels cinc accessos. És la comprovació més barata que existeix i la primera que fa una inspecció, així que va al recorregut del manteniment.

Quan es fa servir un tret físic per identificar una persona, la dada deixa de ser un número de targeta i passa a ser una categoria especial: tractament prohibit com a regla general, i només possible si encaixa en una de les excepcions del reglament. No es resol amb una casella de consentiment al contracte de treball, perquè entre empresa i empleat aquest consentiment difícilment és lliure — si l'alternativa és no poder entrar a treballar, no hi ha elecció.

El que exigeix: una base jurídica reforçada que aguanti per escrit, una avaluació d'impacte prèvia, la justificació de per què no n'hi ha prou amb una mesura menys invasiva, informació específica als afectats i mesures de seguretat més grans, perquè una empremta compromesa no es canvia com una contrasenya.

I gairebé sempre hi ha una mesura menys invasiva que resol el problema real. Si el que es vol és que la targeta no es presti, hi ha targeta més PIN. Si el que es vol és saber qui va obrir, hi ha registre d'accessos amb verificació per imatge, que grava però no crea una base de dades biomètrica. Si el que es vol és una barrera d'aparcament, hi ha matrícula. La biometria és la resposta quan el risc ho justifica —una zona crítica, un accés que no pot fallar— i llavors es munta amb tot l'anterior fet.

Així que quan algú demana lector d'empremta per a la porta principal, el primer és preguntar quin problema hi ha a sota. De vegades és biometria. Bastants vegades és una altra cosa més barata i amb la meitat de paperassa.

Hi ha dues coses que es diuen igual —«analítica de vídeo»— i en protecció de dades no s'assemblen gens. Una és mesurar: quantes persones passen per aquest passadís, quanta estona porta ocupat el moll, quanta cua hi ha. El sistema necessita veure una silueta per comptar-la i no necessita saber qui era, així que el resultat és un número i no una persona.

L'altra és identificar: associar una imatge a una identitat concreta. Necessita una altra base jurídica i, si va per trets físics, és biometria amb tot el que això arrossega. Barrejar les dues en la mateixa frase és l'error que fa que un projecte de mesurar aforaments acabi en tres mesos de conversa amb el comitè d'empresa.

La regla que apliquem: si la funció es pot complir amb un número, es munta perquè en surti un número. I per a gairebé tot el que es demana —aforaments, cues, temps d'ocupació, ús d'equips de protecció, comptatge de vehicles— es pot.

I hi ha una peça més que canvia la conversa: on s'analitza la imatge. IRIS Neural, el sistema d'Infinity Neural —una de les empreses d'aquest grup—, processa el vídeo dins de la mateixa instal·lació: no cal enviar les imatges al núvol d'un tercer per entendre què està passant. No elimina cap obligació, segueix sent un tractament amb el seu responsable, però treu de la taula el que més costa justificar: qui més té accés a les teves imatges i on són.

En una instal·lació normal les imatges les poden veure bastantes més persones de les que es pensava: el torn de seguretat, el responsable de planta, l'informàtic que va muntar el servidor, el proveïdor de suport i l'usuari genèric la contrasenya del qual coneix mitja plantilla. Aquest últim és el problema de debò.

El que es munta al seu lloc: usuaris amb nom i no compartits, permisos per zona i per funció —hi ha qui necessita veure en directe i no necessita poder exportar—, i registre de qui ha mirat què i qui ha tret un fitxer i quan. Aquest registre és el que converteix una sospita en un fet, i és el que demana una auditoria.

I l'accés nostre, el de l'encarregat, va igual: amb usuaris identificats, només per al que s'ha contractat, i deixant traça. És raonable que ho exigeixis per contracte, i és al contracte d'encàrrec.

El disc que guarda els enregistraments és en un lloc. Si aquest lloc és un armari obert en un passadís, la mesura més sofisticada del programari no serveix de res. Per això la ubicació, el tancament de l'armari i qui té la clau són part de les mesures, i s'escriuen.

I quan hi ha còpia o accés remot, es diu on és i amb quines garanties. Una transferència internacional ha d'estar identificada i emparada en un dels mecanismes que permet el reglament: no n'hi ha prou que el proveïdor sigui conegut. La manera més senzilla de no tenir aquesta conversa és que el vídeo no surti de casa teva.

Una bretxa no és només que algú entri des de fora. És també un disc que desapareix, un vídeo enviat a qui no tocava o un usuari que accedeix al que no li corresponia. El responsable ho ha de notificar a l'autoritat de control sense dilació indeguda i, com a màxim, en setanta-dues hores des que ho coneix, tret que sigui improbable que suposi un risc per a les persones. I si el risc és alt, comunicar-los-ho a elles.

Setanta-dues hores és molt poc per improvisar: cal saber per endavant qui decideix, qui redacta i on són els registres que permeten explicar què va passar. És un procediment de mitja pàgina que ningú no escriu fins al dia que el necessita.

La nostra part és al contracte: si detectem alguna cosa en el que gestionem, t'ho comuniquem sense demora —perquè qui notifica a l'autoritat ets tu— i et donem el que tenim: què va passar, quan, quines dades i quines persones poden estar afectades i què s'ha fet per contenir-ho. Els registres d'accés dels quals parlàvem abans són el que permet contestar això en hores i no en setmanes.

El responsable ets tu i nosaltres som encarregats, amb un contracte que ho regula. L'enquadrament de cada càmera es decideix i s'escriu. El termini de conservació es configura perquè es compleixi sol. I hi ha tres línies que no es creuen sense justificació escrita: no es grava on no es pot gravar, no es tracta biometria perquè sigui còmode, i no es diu que un sistema identifica quan el que fa és comptar.