Una cámara graba personas. Eso tiene dueño, reglas y plazos.

Hay dos conversaciones de protección de datos y se confunden todo el rato. Una es qué hace esta web con tu correo cuando rellenas el formulario: responsable, base jurídica, plazos y derechos. Eso es un texto legal, está escrito entero y no está aquí.

La otra es la que importa cuando lo que compras es un sistema que graba a personas: cámaras generando imágenes de trabajadores, clientes, proveedores y gente que pasa por la calle, guardadas en un disco de tu edificio, consultables por un puñado de personas y reclamables por cualquiera que salga en ellas. Ésa es ésta.

Y lo primero que hay que aclarar es lo que casi nunca se aclara: de todo eso, la mayor parte responde de ti.

Parece una distinción de abogados y es la que decide quién contesta cuando llega una reclamación. El responsable es quien decide para qué se graba, dónde se ponen las cámaras, cuánto se guarda y quién puede mirar. Eso lo decides tú, porque es tu instalación, tu riesgo y tu operación. Y si la Agencia pregunta, pregunta a quien decide.

Nosotros somos el encargado: tratamos esas imágenes por cuenta tuya y sólo para lo que nos has encargado. Instalar, configurar, mantener, y entrar a mirar cuando hay una avería o una puesta a punto. No podemos usar tus imágenes para otra cosa, no podemos guardarlas en nuestro lado por nuestra cuenta y no podemos meter a un tercero en medio sin que lo sepas y lo autorices.

Eso no se sostiene con la buena voluntad: se firma. El contrato de encargo de tratamiento es obligatorio y dice por escrito para qué podemos tratar, durante cuánto, con qué medidas, quién de los nuestros accede, qué pasa con los datos cuando acaba —se devuelven o se borran, y se acredita— y qué hacemos si detectamos un problema. Si un proveedor de videovigilancia no te ha pasado ese contrato, te falta el documento con el que defenderte.

Se hacen evaluaciones de impacto en protección de datos de forma regular: el ejercicio de sentarse a mirar un tratamiento y preguntarse qué puede salir mal para las personas afectadas y qué se hace para que no pase. Cuando un proyecto tuyo necesita una —y hay casos en los que es obligatoria— sabemos cómo se hace porque la hacemos.

Se mantiene el registro de actividades de tratamiento, que es el inventario de qué datos se tratan, para qué, con qué base, quién accede, a quién se comunican y cuánto se conservan. Es lo primero que pide la autoridad de control cuando aparece, y es también la única forma de saber lo que se tiene.

Y hay Delegados de Protección de Datos nombrados en las organizaciones del grupo, que es la figura que supervisa todo esto por dentro y a la que se puede escribir. Aquí no publicamos su nombre ni un correo personal: el contacto se facilita a quien lo pida, por el canal de contacto de esta web, y es el camino correcto para un ejercicio de derechos o para una consulta de cumplimiento.

Las medidas técnicas y organizativas protegen los datos frente a pérdida, alteración, acceso no autorizado o tratamiento ilícito. Eso lo dice la norma y así escrito lo firma cualquiera. La diferencia es si alguien de fuera ha venido a comprobarlo.

Lo ha hecho. La ISO/IEC 27001 certifica el sistema de gestión de seguridad de la información, y la ISO/IEC 27701 va justo de esto: la gestión de la privacidad, que es la extensión de la anterior para tratamiento de datos personales. Con eso, tu departamento de informática pide el certificado y lo comprueba, en lugar de mandarnos un cuestionario de cuarenta páginas que después alguien tiene que evaluar.

Protección de datos desde el diseño suena a documento. En videovigilancia es algo muy físico: es la altura, el ángulo y el zoom de cada cámara. Una cámara que cubre tu puerta de entrada y, de paso, treinta metros de acera pública está tratando datos de gente que no tiene nada que ver contigo. Girada unos grados, deja de hacerlo y sigue cubriendo la puerta. Esa decisión dura lo que dura la instalación.

Los tres sitios donde esto se incumple casi siempre son los mismos. La vía pública: sólo se puede captar lo imprescindible del entorno del acceso, y el resto se recorta o se enmascara. La propiedad del vecino: su puerta, su ventana y su jardín no son tu instalación. Y el puesto de trabajo: una cámara apuntando fijamente a una mesa concreta no es videovigilancia de seguridad, es control laboral, y eso tiene otras reglas, otra información previa y otra conversación con el comité.

Hay además zonas donde no se pone cámara, y no es opinable: vestuarios, aseos, comedores y zonas de descanso. Si en el plano aparece una ahí, el plano está mal.

Todo esto se decide en el proyecto, cuando todavía es gratis, y se escribe: qué cubre cada cámara, qué queda fuera a propósito y qué zonas de la imagen van enmascaradas. Las máscaras se comprueban sobre la imagen real y no sobre el plano, y se vuelven a comprobar en el mantenimiento: una cámara que alguien recolocó para ver mejor el muelle puede haberse llevado por delante el encuadre acordado.

Las imágenes de videovigilancia se suprimen en el plazo máximo de un mes desde su captación, salvo las que haya que conservar para acreditar hechos que atenten contra personas, bienes o instalaciones — y ésas se conservan precisamente para entregarlas a quien tenga que investigarlas. Lo dice la ley española de protección de datos, y no es una recomendación.

El orden correcto, entonces, es fijar primero cuánto hay que conservar y calcular después el almacenamiento. Pasa muy a menudo lo contrario: se compra un disco holgado, el sistema acaba guardando tres meses porque caben y nadie lo configuró para borrar. Eso es un incumplimiento silencioso, del que nadie se entera hasta que alguien pregunta. En lo que mantenemos, el borrado automático es parte de la configuración que se entrega y del informe de revisión.

Y funciona en el otro sentido también. Un sistema que guarda siete días porque el disco no da para más es un sistema que no sirve para lo que se compró: los incidentes se descubren tarde, y la grabación del día que importaba ya no existe.

Cualquier persona que haya sido grabada puede pedir acceso a sus imágenes, pedir que se supriman cuando ya no haya motivo para conservarlas, oponerse al tratamiento o reclamar ante la autoridad de control. Eso no se negocia y hay un plazo para contestar, que se cuenta en semanas y no en meses.

Parece fácil hasta que toca hacerlo. Llega una petición que dice «estuve en su edificio el día 14 por la mañana». Hay que localizar ese tramo en la cámara que corresponda, comprobar que esa persona es quien dice ser, extraer las imágenes en las que aparece y entregarlas sin revelar a los demás que salen en el mismo fotograma, que también tienen derechos. Y dejar constancia.

Un sistema que sólo permite mirar hacia atrás cámara por cámara, sin buscar bien por fecha y hora, sin exportar un recorte concreto y sin registrar quién exportó qué, convierte cada petición en una tarde de trabajo y en una respuesta mala. Localizar, recortar, anonimizar a terceros y exportar con registro es un requisito de protección de datos, y se mira al elegir el sistema y no cuando llega la primera carta.

Antes de entrar en una zona videovigilada, la gente tiene que saber que lo es. El cartel va en el perímetro, visible antes de entrar, no en la pared del fondo del pasillo. Y tiene que decir cuatro cosas: que la zona está videovigilada, quién es el responsable, para qué se graba, y dónde se puede consultar el resto de la información y ejercer los derechos.

Eso es la primera capa. La segunda es el detalle completo: base jurídica, plazos de conservación, destinatarios, transferencias si las hay, y cómo reclamar. Tiene que estar disponible de verdad —en recepción, en la intranet, en una dirección web— y no sólo mencionada.

El fallo típico no es no tener carteles: es tenerlos del proveedor anterior, con un nombre de empresa que ya no es el responsable, o puestos en tres de los cinco accesos. Es la comprobación más barata que existe y la primera que hace una inspección, así que va en el recorrido del mantenimiento.

Cuando se usa un rasgo físico para identificar a una persona, el dato deja de ser un número de tarjeta y pasa a ser una categoría especial: tratamiento prohibido como regla general, y sólo posible si encaja en una de las excepciones del reglamento. No se resuelve con una casilla de consentimiento en el contrato de trabajo, porque entre empresa y empleado ese consentimiento difícilmente es libre — si la alternativa es no poder entrar a trabajar, no hay elección.

Lo que exige: una base jurídica reforzada que aguante por escrito, una evaluación de impacto previa, la justificación de por qué no basta una medida menos invasiva, información específica a los afectados y medidas de seguridad mayores, porque una huella comprometida no se cambia como una contraseña.

Y casi siempre hay una medida menos invasiva que resuelve el problema real. Si lo que se quiere es que la tarjeta no se preste, hay tarjeta más PIN. Si lo que se quiere es saber quién abrió, hay registro de accesos con verificación por imagen, que graba pero no crea una base de datos biométrica. Si lo que se quiere es una barrera de parking, hay matrícula. La biometría es la respuesta cuando el riesgo lo justifica —una zona crítica, un acceso que no puede fallar— y entonces se monta con todo lo anterior hecho.

Así que cuando alguien pide lector de huella para la puerta principal, lo primero es preguntar qué problema hay debajo. A veces es biometría. Bastantes veces es otra cosa más barata y con la mitad de papeleo.

Hay dos cosas que se llaman igual —«analítica de vídeo»— y en protección de datos no se parecen en nada. Una es medir: cuántas personas pasan por este pasillo, cuánto lleva ocupado el muelle, cuánta cola hay. El sistema necesita ver una silueta para contarla y no necesita saber quién era, así que el resultado es un número y no una persona.

La otra es identificar: asociar una imagen a una identidad concreta. Necesita otra base jurídica y, si va por rasgos físicos, es biometría con todo lo que eso arrastra. Mezclar las dos en la misma frase es el error que hace que un proyecto de medir aforos acabe en tres meses de conversación con el comité de empresa.

La regla que aplicamos: si la función se puede cumplir con un número, se monta para que salga un número. Y para casi todo lo que se pide —aforos, colas, tiempos de ocupación, uso de equipos de protección, conteo de vehículos— se puede.

Y hay una pieza más que cambia la conversación: dónde se analiza la imagen. IRIS Neural, el sistema de Infinity Neural —una de las empresas de este grupo—, procesa el vídeo dentro de la propia instalación: no hay que mandar las imágenes a la nube de un tercero para entender qué está pasando. No elimina ninguna obligación, sigue siendo un tratamiento con su responsable, pero quita de la mesa lo que más cuesta justificar: quién más tiene acceso a tus imágenes y dónde están.

En una instalación normal las imágenes las pueden ver bastantes más personas de las que se creía: el turno de seguridad, el responsable de planta, el informático que montó el servidor, el proveedor de soporte y el usuario genérico cuya contraseña conoce media plantilla. Ese último es el problema de verdad.

Lo que se monta en su lugar: usuarios con nombre y no compartidos, permisos por zona y por función —hay quien necesita ver en directo y no necesita poder exportar—, y registro de quién ha mirado qué y quién ha sacado un fichero y cuándo. Ese registro es lo que convierte una sospecha en un hecho, y es lo que pide una auditoría.

Y el acceso nuestro, el del encargado, va igual: con usuarios identificados, sólo para lo que se ha contratado, y dejando traza. Es razonable que lo exijas por contrato, y está en el contrato de encargo.

El disco que guarda las grabaciones está en un sitio. Si ese sitio es un armario abierto en un pasillo, la medida más sofisticada del software no sirve de nada. Por eso la ubicación, el cierre del armario y quién tiene la llave son parte de las medidas, y se escriben.

Y cuando hay copia o acceso remoto, se dice dónde está y con qué garantías. Una transferencia internacional tiene que estar identificada y amparada en uno de los mecanismos que permite el reglamento: no basta con que el proveedor sea conocido. La forma más sencilla de no tener esa conversación es que el vídeo no salga de tu casa.

Una brecha no es sólo que alguien entre desde fuera. Es también un disco que desaparece, un vídeo enviado a quien no debía o un usuario que accede a lo que no le correspondía. El responsable tiene que notificarlo a la autoridad de control sin dilación indebida y, como máximo, en setenta y dos horas desde que lo conoce, salvo que sea improbable que suponga un riesgo para las personas. Y si el riesgo es alto, comunicárselo a ellas.

Setenta y dos horas es muy poco para improvisar: hay que saber de antemano quién decide, quién redacta y dónde están los registros que permiten contar qué pasó. Es un procedimiento de media página que nadie escribe hasta el día que lo necesita.

Nuestra parte está en el contrato: si detectamos algo en lo que gestionamos, te lo comunicamos sin demora —porque quien notifica a la autoridad eres tú— y te damos lo que tenemos: qué pasó, cuándo, qué datos y qué personas pueden estar afectadas y qué se ha hecho para contenerlo. Los registros de acceso de los que hablábamos antes son lo que permite contestar eso en horas y no en semanas.

El responsable eres tú y nosotros somos encargados, con un contrato que lo regula. El encuadre de cada cámara se decide y se escribe. El plazo de conservación se configura para que se cumpla solo. Y hay tres líneas que no se cruzan sin justificación escrita: no se graba donde no se puede grabar, no se trata biometría porque sea cómodo, y no se dice que un sistema identifica cuando lo que hace es contar.