La Autoridad Catalana de Protección de Datos (APDCAT) valida la grabación de trabajadores sociales cuando concurre un interés legítimo.

La captación de imágenes es compatible con la normativa de protección de datos si se produce en espacios públicos y como elemento accesorio de un acontecimiento de relevancia pública. Es decir, no existe una obligación general de anonimato del personal, ya que no es exigible su anonimización automática, aunque las Administraciones pueden adoptar medidas preventivas para dificultar su identificación directa cuando no sea necesario para informar.

Un uso indebido, innecesario o desproporcionado de las imágenes, aun siendo lícita la grabación inicial, puede vulnerar derechos fundamentales y generar responsabilidades legales. La difusión posterior de imágenes debe analizarse de forma independiente, ya que puede ser ilícita si expone injustificadamente al personal a riesgos, represalias o estigmatización. En este caso, la licitud de su difusión depende de la finalidad, la proporcionalidad y la minimización de datos, activándose plenamente las obligaciones del RGPD y la LOPDGDD, y en supuestos de difusión indebida los afectados pueden acudir a la autoridad de protección de datos y ejercer acciones civiles por vulneración del derecho a la propia imagen u otras vías legales según la gravedad.

La APDCAT considera ilícita la identificación biométrica en un proyecto municipal de videovigilancia.

La APDCAT ha emitido un dictamen sobre un proyecto municipal de videovigilancia con analítica de vídeo e inteligencia artificial, que incluye detección de incidentes, lectura de matrículas y la posible identificación biométrica remota en tiempo real.

En este dictamen se concluye que esta última funcionalidad no puede activarse por falta de base jurídica, ya que el Reglamento Europeo de IA prohíbe con carácter general la identificación biométrica remota en espacios públicos, salvo excepciones muy estrictas sujetas a regulación nacional.

Además, advierte de posibles impactos en derechos fundamentales, detecta deficiencias en el análisis de alternativas menos intrusivas y en la transparencia hacia la ciudadanía, y reclama un refuerzo de los mecanismos de información, control y reclamación. No obstante, se admite un despliegue parcial del sistema siempre que se cumplan condiciones estrictas:

• Mantener técnicamente deshabilitada la identificación biométrica.
• Realizar una auditoría externa del algoritmo.
• Delimitar con precisión las zonas de captación.
• Establecer un protocolo claro de desanonimización.
• Garantizar supervisión continuada, mediante un comité ético‑técnico y auditorías periódicas.

En definitiva, cualquier uso futuro de identificación biométrica remota solo sería posible si el legislador estatal aprueba previamente el marco jurídico exigido por el Reglamento de IA, con garantías y un sistema de autorización previa judicial o administrativa independiente.

Propuesta de reforma legislativa “Ómnibus Digital”

La Comisión Europea ha presentado el llamado “paquete ómnibus digital” con el objetivo de simplificar y modernizar el marco regulatorio europeo en ámbitos clave como la inteligencia artificial, los datos y la ciberseguridad. La iniciativa busca unificar normas dispersas, reducir cargas administrativas y facilitar el cumplimiento normativo en materia de datos y de seguridad que también afecta al sector público, al tiempo que se actualizan regulaciones centrales como el Reglamento General de Protección de Datos, el Reglamento de Inteligencia Artificial y la NIS2.

Todas las medidas del paquete ómnibus digital deberán seguir el procedimiento legislativo ordinario, por lo que los cambios propuestos aún no son de aplicación hasta que sean formalmente aprobados.

Si bien las autoridades europeas de protección de datos valoran la intención del Digital Omnibus de armonizar y simplificar la normativa, han emitido una opinión crítica al advertir de que algunos cambios pueden debilitar la protección de datos y generar inseguridad jurídica. En particular, el Comité Europeo de Protección de Datos como el Supervisor Europeo de Protección de Datos alertan sobre el impacto de la reforma en normas como el RGPD y rechazan la propuesta de modificar la definición de “dato personal”, al considerar que reduciría el ámbito de protección.

No obstante, reconocen avances positivos, como la flexibilización y ampliación de plazos para notificar brechas de seguridad, el uso de plantillas comunes y una mayor claridad en la investigación científica y en el uso de datos biométricos bajo control del usuario.

Nuevas directrices de la APDCAT: Principios básicos para la contratación y el uso de plataformas educativas digitales para las administraciones educativas y los centros docentes.

Las autoridades de protección de datos han identificado importantes riesgos en el uso de plataformas educativas digitales en la nube, especialmente por el tratamiento masivo de datos personales de menores. Estas plataformas, esenciales para la enseñanza y no de uso voluntario, implican una responsabilidad reforzada para las administraciones y centros educativos, ya que pueden afectar simultáneamente a millones de alumnos y deben respetar estrictamente el RGPD.

La Guía de la APDCAT destaca principios básicos consensuados por las autoridades para garantizar la licitud del tratamiento, la transparencia, la protección de datos desde el diseño y el ejercicio de derechos. Además, advierte de la complejidad de estas plataformas, que combinan servicios educativos básicos y otros adicionales, distintos tipos de datos (facilitados por los usuarios y generados automáticamente) y roles variables de los proveedores, que pueden actuar tanto como encargados como responsables del tratamiento, lo que exige un análisis cuidadoso de contratos, finalidades y garantías.

Los principios básicos que trata la guía son los siguientes:

1. El pleno respeto a los derechos y libertades en el tratamiento de datos personales.
2. La determinación clara de la responsabilidad del tratamiento.
3. Las bases de legitimación y estricta limitación de finalidades.
4. La evaluación de impacto y participación del delegado de protección de datos.
5. La transparencia e información.
6. El contrato de encargo de tratamiento y control de sub-encargados.
7. Las garantías en transferencias internacionales.
8. La protección de datos desde el diseño y por defecto.
9. La seguridad de la información.
10. Derechos de los interesados.