Conteo de personas y protección de datos: guía RGPD

Por qué la medición de afluencia plantea dudas sobre el RGPD

Contar visitantes significa medir personas en un espacio físico, y la mayoría de las formas de hacerlo tocan algo personal: señales de un teléfono o imágenes en una puerta. Bajo el RGPD, cualquier cosa que pueda identificar a una persona es un dato personal, y los identificadores y las grabaciones almacenadas son justo el tipo de material que la normativa pretende controlar. Un equipo de cumplimiento hace bien en frenar un proyecto de medición de afluencia y preguntar qué se recoge, qué se conserva y si se podría llegar a distinguir a alguien en los datos. Esas preguntas merecen respuestas directas, por escrito, antes de contar al primer visitante.

Cómo las responde el método

Bumbee Labs cuenta con Wi-Fi, sensores ópticos 3D, datos de red móvil o un híbrido de ellos, y todos los métodos siguen el mismo diseño de privacidad. La medición es pasiva: no se instala nada en ningún teléfono y no se pide nada al visitante. Todos los datos personales se eliminan de forma irreversible y nunca se almacenan, ni siquiera en forma de hash. Solo quedan estadísticas anónimas y agregadas, y no se puede identificar a ninguna persona. Las instalaciones de cámaras y sensores procesan el vídeo únicamente con fines analíticos, sin almacenar imágenes personales. Ese es el enfoque del conteo con cámara respetuoso con el RGPD. La analítica de red móvil trabaja sobre datos de red anonimizados y agregados, sin seguimiento a nivel de dispositivo.

Lo que le llega son estadísticas: conteos de visitantes, tiempos de permanencia, flujos, tasas de captación y tendencias. El resultado es una monitorización de flujos de personas conforme al RGPD: conteo anónimo de personas a cualquier escala, desde una sola puerta hasta un distrito entero. En qué datos obtiene se describe paso a paso el recorrido completo de la señal a la estadística: recogida, anonimización, filtrado, procesamiento e información.

Wifi tracking en tiendas: las orientaciones de la AEPD

El wifi tracking y el conteo de personas por wifi se confunden a menudo, pero no son lo mismo. Bumbee Labs no rastrea a nadie. Los puntos de acceso que la tienda ya tiene reciben las probe requests pasivas (las señales cortas con las que los teléfonos buscan redes), y el visitante no necesita app ni inicio de sesión, ni tiene que hacer nada. Los datos se anonimizan en origen, de modo que solo quedan estadísticas agregadas. Lo que un sistema hace con la señal es también el centro de lo que publican las autoridades.

Las autoridades europeas llevan años tratando el wifi tracking como un tema propio. Varias autoridades de protección de datos publicaron unas orientaciones conjuntas sobre tecnologías de seguimiento wifi: la AEPD española, junto con la AVPD vasca y la APDCAT catalana. La AEPD publica también la versión en inglés, “Wi-Fi tracking technologies: guidance for data controllers”. El mensaje central, común a todas ellas, es que lo decisivo es qué hace un sistema con la señal: si identifica, almacena y vincula, o si anonimiza en origen y solo deja estadísticas agregadas. Lo mismo vale para el contador de personas de una tienda: pesa más cómo está construida la medición que la tecnología con la que funciona.

En España, la LOPDGDD aplica los mismos requisitos del RGPD al tratamiento de datos en el territorio nacional. Cualquier revisión plantea si se generan datos personales, y esa es la misma pregunta que la IMY sueca respondió para el método wifi de Bumbee Labs. La diferencia entre una conformidad autodeclarada y un método revisado se explica en Conforme al RGPD vs aprobado por una autoridad.

Quién lo aprobó: IMY, la autoridad sueca de protección de datos

La aprobación la emitió IMY, la autoridad sueca de protección de datos (Integritetsskyddsmyndigheten, anteriormente Datainspektionen), el regulador que supervisa la protección de datos en Suecia. IMY examinó el propio método de medición de afluencia por Wi-Fi: qué se recoge, qué se elimina de forma irreversible y qué queda. Su conclusión fue que el resultado son estadísticas anónimas y agregadas, no datos personales.

La aprobación cubre el método de medición de afluencia por Wi-Fi. También marcó el estándar de ingeniería para todo lo que hemos construido desde entonces: la medición con sensor 3D, LiDAR, cámara IA y red móvil está diseñada bajo el mismo principio de privacidad por diseño y entrega el mismo resultado anónimo. Como el RGPD es un único reglamento en toda la UE y el EEE, la pregunta que respondió IMY es la pregunta de la que parte un revisor en cualquier estado miembro. La AEPD (Agencia Española de Protección de Datos) supervisa la misma normativa. Lo que separa un método revisado por un regulador de la propia etiqueta «conforme al RGPD» de un proveedor se trata en Conforme al RGPD vs aprobado por una autoridad.

Qué significa la aprobación para su revisión

Para una revisión de cumplimiento, la aprobación cambia el punto de partida. La pregunta central es si el método genera datos personales, e IMY ya la planteó y la respondió. Como nunca se generan datos personales, puede usar las estadísticas sin asumir riesgo de privacidad. El método cumple los principios de privacidad por diseño y por defecto exigidos por el artículo 25 del RGPD: la privacidad forma parte del propio método desde su diseño y no se añade después como una capa. Además de la aprobación, el método cuenta con respaldo independiente: está validado por el mundo académico, los partners y los clientes, y cada despliegue se verifica con mediciones de control manuales contrastadas con nuestros propios datos. Para equipos de cumplimiento en España, la LOPDGDD aplica los mismos requisitos del RGPD al tratamiento de datos en el territorio nacional, y el método, tal como está diseñado, satisface ambas normativas. Si hay una evaluación formal sobre la mesa, EIPD para conteo de personas recoge las preguntas que suele hacer un DPD y muestra dónde se encuentran estas respuestas.

Lo que nos preguntan los equipos de cumplimiento

• ¿Qué se recoge? Señales Wi-Fi que emiten los teléfonos, conteos ópticos en un punto o datos de red anonimizados y agregados, según el método. La recogida es pasiva en todos los casos.
• ¿Qué se conserva? Solo estadísticas: conteos, permanencia, flujos y tendencias. No se almacena nada que pueda identificar a nadie.
• ¿Se puede distinguir a alguien en los datos? No. El método está diseñado para que nunca se pueda identificar a ninguna persona.
• ¿Adónde van las cifras? A paneles y a una API documentada de tipo pull. Los datos de sus visitantes son suyos, listos para los sistemas que ya utiliza.

Reglamento de Inteligencia Artificial de la UE: lo que cambia para el conteo con cámaras

Los sistemas de conteo con cámara que usan visión artificial para clasificar a personas pueden entrar en el Anexo III del Reglamento de IA de la UE (sistemas de IA de alto riesgo relacionados con la categorización biométrica). Los sistemas de conteo con cámaras y sensores 3D de Bumbee Labs procesan el vídeo solo para contar, sin identificación biométrica y sin almacenar imágenes personales, pero la clasificación de cada sistema concreto corresponde a su propia evaluación. El conteo por Wi-Fi y la analítica de red móvil quedan fuera de ese ámbito por su arquitectura: no tratan datos biométricos ni identifican a nadie. Para equipos de compras en organismos públicos o empresas sujetas a escrutinio regulatorio, la aprobación de una autoridad de protección de datos es la respuesta documentada a las preguntas de cumplimiento.

UK GDPR y conteo de personas

Las organizaciones del Reino Unido se rigen por el UK GDPR (el RGPD de la UE conservado en el derecho británico en virtud de la Data Protection Act 2018). La posición de cumplimiento que se describe en esta página se aplica íntegramente también bajo el UK GDPR: el método no genera datos personales, no se almacena nada identificable y la aprobación de una autoridad de protección de datos es una prueba documentada a la que puede remitirse su DPD. Los compradores británicos del comercio, el transporte y el sector público pueden usar estas estadísticas de visitantes con la misma confianza que sus homólogos de la UE.

Para quién es esto

Retailers y centros comerciales, nodos de transporte y aeropuertos, museos, bibliotecas, centros urbanos y publicidad exterior: lugares donde la afluencia orienta decisiones y donde el escrutinio de la privacidad es, con razón, alto. El enfoque escala de una sola tienda a distritos enteros. Las estadísticas llegan igual a cualquier escala, así que un grupo con muchas ubicaciones revisa el método una sola vez. Los organismos públicos que compran mediante licitación pueden convertir estos mismos principios en requisitos con contratación pública de conteo de personas.

Lista de comprobación para la contratación

Quien compra conteo de personas puede incluir la cuestión de la privacidad en la especificación con unos pocos puntos:

• ¿Qué autoridad revisó el método? Cualquiera puede escribir «conforme al RGPD». Pida el nombre de la autoridad y su decisión.
• ¿Qué sale del sensor? Conteos y estadísticas agregadas, ¿o identificadores y grabaciones?
• ¿Pasivo o activo? ¿La medición exige una app, un inicio de sesión o una acción del visitante?
• ¿Qué se conserva y durante cuánto? ¿Los datos personales se eliminan de forma irreversible o solo se «protegen»?
• ¿Cómo se demuestra la exactitud? ¿Calibra el proveedor contra mediciones de control manuales?
• ¿Cómo llegan las estadísticas? Paneles y una API documentada; los datos son suyos.

La sección «Lo que nos preguntan los equipos de cumplimiento» responde a esas mismas preguntas por escrito, antes de contar al primer visitante.

Respuestas directas antes de comprometerse

Traiga las preguntas que su DPO le hará de todos modos. Una demo repasa el método, el recorrido de los datos y el panel en lenguaje claro. Nuestra política de privacidad explica cómo tratamos los datos en general, y los casos de éxito muestran cómo usan las estadísticas organizaciones que antes hicieron las mismas preguntas.