Anonimización en visores tipo Street View: ¿lo estamos haciendo bien?

Los geoportales con fotografías panorámicas tipo Street View se han consolidado como herramientas habituales para la gestión territorial y, cada vez más, para el uso ciudadano. Sin embargo, desde el punto de vista de la normativa de protección de datos, la mera ofuscación de rostros como práctica estándar puede resultar insuficiente para evitar la identificación de personas. Este artículo analiza cuándo las imágenes siguen constituyendo datos personales y qué requisitos debería cumplir una anonimización efectiva.

Cada vez son más habituales los visores que incorporan fotografías panorámicas 360º, permitiendo navegar por el mapa y abrir vistas de las calles. Incluso algunas de estas plataformas, además, ya ofrecen funcionalidades avanzadas: medición de distancias, alturas, pendientes y ángulos; extracción de coordenadas; exportación de datos; y otras herramientas de análisis geoespacial.

Este tipo de geoportales tiene un marcado componente técnico y está orientado, principalmente, a prestar servicio a profesionales vinculados al urbanismo y la gestión territorial. Permiten revisar mobiliario urbano, señalización, geometría de calles y elementos de la vía pública, entre otros. Sin embargo, aunque muchas funcionalidades suelen estar restringidas a perfiles profesionales, cada vez más plataformas incorporan una parte pública a la que cualquier ciudadano puede acceder para consultar determinados datos.

Cuando esa parte pública incluye un visor de fotografías panorámicas, cualquier usuario puede navegar por las calles de una ciudad o por cualquiera que sea el ámbito territorial cubierto. En estos casos, para generar las panorámicas se ha realizado previamente una captura de datos mediante tecnología Mobile Mapping, que recoge las imágenes de forma masiva.

¿Las fotografías panorámicas tipo Street View implican tratamiento de datos personales?

La respuesta es sí, al menos cuando en esas imágenes aparecen personas identificadas o identificables.

Cuando un sistema de captura recoge imágenes cada pocos metros en una calle, especialmente en entornos urbanos, es habitual que se registren personas transitando por la vía pública, personas en espacios visibles desde la calle e incluso elementos asociados a viviendas o negocios. También es frecuente que se capten matrículas de vehículos.

Por tanto, la captación de información mediante tecnología de Mobile Mapping puede comportar la recogida indirecta y accesoria, aunque masiva, de datos personales correspondientes a miles de personas. Además, en la mayoría de los casos, esas personas difícilmente son conscientes de que la captura se está produciendo, ni de cómo serán tratados posteriormente esos datos.

La base jurídica para realizar este tipo de tratamientos suele apoyarse, en el caso de administraciones públicas, en el artículo 6.1.e del Reglamento General de Protección de Datos (en adelante RGPD), que permite el tratamiento necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos. En otros supuestos, dependiendo del responsable y de la finalidad concreta, podría invocarse el interés legítimo.

En cualquier caso, si se captan datos personales, estos deben tratarse conforme a la normativa. Y si las imágenes van a ser publicadas o puestas a disposición de terceros, resulta especialmente relevante aplicar técnicas de anonimización eficaces, robustas e irreversibles en términos prácticos.

¿Qué se considera dato personal?

De acuerdo con el RGPD, constituye dato personal cualquier información relativa a una persona física identificada o identificable. Resulta especialmente relevante detenerse en el concepto de “identificable”. Una persona física es identificable cuando puede ser determinada, directa o indirectamente, mediante elementos como su nombre, DNI, matrícula del vehículo, datos de localización, rasgos físicos, económicos, culturales o sociales.

Desde esta perspectiva, tanto la matrícula de un vehículo como el rostro de una persona pueden permitir o facilitar su identificación. No obstante, en las imágenes captadas mediante tecnología de Mobile Mapping pueden aparecer, además, otros elementos que contribuyan a dicha identificación, como la ubicación, la fecha en que se tomó la imagen, el contexto, la vestimenta, la complexión física, los objetos que porta la persona o su proximidad a un domicilio, lugar de trabajo u otro espacio especialmente vinculado a ella.

El Dictamen 4/2007 (WP136) del antiguo Grupo de Trabajo del Artículo 29 ya decía que un dato personal no tiene por qué ser solo el rostro, el nombre o un identificador directo. También puede ser información del entorno o del contexto si, combinada con otros elementos, permite identificar a una persona. Por eso, en algunas imágenes con la cara pixelada pueden seguir existiendo datos personales si la persona puede reconocerse por la ubicación, la ropa, la postura, el lugar o el conjunto de la escena.

Por lo tanto, la combinación de estos datos, en determinados contextos, puede hacer factible la identificación de una persona y afectar de manera especialmente intensa a su intimidad, dignidad, derechos y libertades. Así puede ocurrir, por ejemplo, cuando la imagen o la información asociada permite inferir convicciones religiosas o políticas, el estado de salud o situaciones de especial vulnerabilidad, entre otras circunstancias.

Por ello, las medidas técnicas a aplicar no deben limitarse exclusivamente y de manera general al pixelado del rostro. Incluso cuando una persona aparece de espaldas o su cara no resulta visible, la identificación puede producirse por la combinación de diversos elementos presentes en la imagen. En consecuencia, el responsable del tratamiento no puede entender cumplidas sus obligaciones en materia de protección de datos por el mero hecho de que no se aprecie el rostro de la persona afectada. 

La valoración debe atender al conjunto de la información disponible, al contexto de la captura y al riesgo real de identificación o reidentificación.

En este sentido, la normativa de protección de datos es clara: cuando el tratamiento permite identificar directa o indirectamente a una persona física, resultan aplicables las obligaciones previstas en el RGPD. Su incumplimiento puede dar lugar a la intervención de las autoridades de control y, en su caso, a la imposición de sanciones económicas.

 ¿Ofuscar el rostro es anonimizar? 

Aquí persiste una confusión importante y la respuesta es no. En muchos visores que ofrecen fotografías panorámicas, la técnica habitual consiste en pixelar o difuminar el rostro de las personas que aparecen en la vía pública. En el mejor de los casos, esta ofuscación oculta los rasgos faciales y constituye una medida relevante para dificultar la identificación, pero no suficiente.

Sin embargo, desde la perspectiva del RGPD, anonimizar exige algo más. La anonimización debe impedir, de forma práctica y razonable, que la persona pueda ser identificada por el responsable del tratamiento o por terceros mediante medios razonablemente disponibles.

Por tanto, si una persona aparece en una calle concreta, vestida de una forma determinada, con determinados rasgos físicos, junto a ciertos objetos o en un contexto que permite reconocerla, puede seguir siendo identificable aunque su rostro esté pixelado. En este caso, identificable no significa que la persona tenga que ser reconocible por toda la población, sino que pueda ser identificada por alguien utilizando medios razonablemente disponibles. No es lo mismo una imagen de una calle concurrida de una gran ciudad, donde una persona aparece con el rostro pixelado y sin elementos especialmente distintivos, que una imagen tomada en un pueblo de 500 habitantes delante de una vivienda concreta. En el primer caso, el riesgo de identificación puede ser residual; en el segundo, la ubicación, la vivienda, la ropa, la complexión o la rutina diaria pueden permitir que vecinos o personas del entorno reconozcan a la persona, aunque el público general no pueda hacerlo.

En consecuencia, en los visores públicos que incluyen fotografías panorámicas tipo Street View, la ofuscación exclusiva del rostro puede no ser suficiente para alcanzar una anonimización efectiva. Como es lógico, el RGPD no exige una imposibilidad matemática absoluta de reidentificación, pero sí requiere que no exista una probabilidad razonable de identificar de nuevo a la persona, teniendo en cuenta factores como el coste, el tiempo necesario y la tecnología disponible.

El objetivo debe ser claro: reducir el riesgo de identificación o reidentificación de las personas afectadas hasta niveles razonablemente residuales, manteniendo al mismo tiempo la máxima utilidad de los datos relevantes para el proyecto en cuestión.

Para ello, se deben aplicar técnicas de ofuscación no solo para ocultar el rostro, sino también para limitar o eliminar otros elementos de la imagen que, por sí solos o en combinación con el contexto, puedan permitir identificar a una persona. Este enfoque permite trabajar con información anonimizada o altamente desidentificada, minimizando los riesgos jurídicos y técnicos asociados al tratamiento y reforzando el respeto a los derechos de las personas afectadas.

Anonimizar correctamente no consiste únicamente en pixelar caras. Consiste en comprender qué elementos pueden hacer identificable a una persona y aplicar medidas suficientes para impedir, de forma razonable y efectiva, su identificación.

Créditos: Para ilustrar este artículo se han utilizado imágenes reales procedentes del visor Catalunya Digital 3D Carrers del Institut Cartogràfic i Geològic de Catalunya (ICGC), con el único propósito de documentar y analizar las implicaciones de privacidad derivadas de la publicación de imágenes del espacio público. Sobre dichas imágenes se ha aplicado posteriormente una herramienta de anonimización, con el fin de mostrar de forma comparativa cómo una anonimización reforzada puede reducir los riesgos de identificación. Las imágenes anonimizadas resultantes son las que se incluyen en el texto.