Cada vez que tu dron enciende la cámara puede estar recogiendo datos personales sin que nadie pose para la foto: rostros, matrículas, el número de una vivienda o a una persona reconocible en su jardín. Ahí es donde el cruce entre RGPD, drones y protección de datos deja de ser teoría y se convierte en una obligación concreta. La normativa aeronáutica regula el vuelo. El RGPD y la LOPDGDD regulan qué haces con esas imágenes.
Para un responsable de empresa esto se traduce en dos capas de papeleo que conviene no mezclar, con dos autoridades diferentes vigilando cada una. En esta guía tienes el marco nacional: cuándo se aplica la protección de datos, quién es la AEPD y en qué se diferencia de AESA, qué obligaciones asumes al grabar y por qué la simple presencia de una cámara suele obligarte también al registro de operador.
¿Se aplican el RGPD y la protección de datos al grabar con un dron?
Sí. En cuanto tu dron capta imágenes en las que se puede identificar a una persona, ese tratamiento se rige por el RGPD y la LOPDGDD, y la autoridad competente es la AEPD. No importa que la grabación sea profesional o que las personas aparezcan de forma incidental: si son identificables, hay datos personales.
Se consideran datos personales no solo los rostros, sino cualquier información que permita identificar a alguien de forma directa o indirecta: una matrícula, la fachada de un domicilio asociada a una persona, un tatuaje o incluso la combinación de ubicación y hora. Grabar espacios sin gente no activa el RGPD, pero en la mayoría de trabajos reales (inspecciones urbanas, audiovisual, seguridad o topografía en zonas habitadas) es difícil garantizar que no aparezca nadie.
¿En qué se diferencian la AEPD y AESA?
Son dos autoridades distintas y no intercambiables: AESA es la autoridad aeronáutica que regula la seguridad del vuelo, y la AEPD es la autoridad que vigila el tratamiento de datos personales. Cumplir con una no te exime de la otra.
Es un error frecuente pensar que, si AESA te ha autorizado a volar, ya estás cubierto en materia de imágenes. No es así. AESA no evalúa qué haces con las grabaciones. La AEPD, por su parte, no autoriza vuelos. Si quieres el mapa completo de organismos que intervienen en una operación, lo desarrollamos en quién autoriza qué en drones.
| Aspecto | AESA | AEPD |
|---|---|---|
| Qué regula | Seguridad del vuelo | Tratamiento de datos personales |
| Norma principal | Reglamentos UE 2019/947 y 2019/945 | RGPD y LOPDGDD |
| Trámites típicos | Registro de operador, formación, autorizaciones | Base de legitimación, deber de informar, evaluación de impacto |
| Qué no hace | No valora el uso de las imágenes | No autoriza vuelos |
¿Por qué llevar cámara te obliga a registrarte como operador UAS?
Porque el registro de operador ante AESA es obligatorio si tu dron pesa 250 gramos o más, o si lleva una cámara o sensor capaz de captar datos personales, salvo que se trate de un juguete. En la práctica, casi cualquier dron de trabajo cumple al menos una de esas dos condiciones.
El registro es del operador, no de cada aparato. AESA te asigna un número de operador que debes exhibir en el dron, y el piloto a distancia acredita aparte su formación. Operador y piloto pueden ser la misma persona o no. Tienes el detalle en cómo darte de alta como operador UAS, y un panorama general del papeleo en permisos para dron comercial.
- El dron pesa 250 gramos o más.
- Lleva una cámara o sensor capaz de captar datos personales.
- Única excepción habitual: juguetes que cumplan la normativa de seguridad de producto.
¿Qué obligaciones te impone el RGPD al grabar con dron?
Debes apoyar la grabación en una base de legitimación válida, informar a las personas afectadas, recoger solo los datos necesarios, protegerlos y respetar los derechos de quienes aparecen. Son obligaciones acumulativas, no alternativas.
Base de legitimación
Todo tratamiento necesita una base jurídica del artículo 6 del RGPD. Para grabar con dron, las más habituales son el consentimiento, el interés legítimo de tu empresa o de tu cliente, la ejecución de un contrato o el cumplimiento de una obligación legal. Elegir la base correcta y documentarla es responsabilidad tuya como operador o como encargado del tratamiento.
Deber de informar
Tienes que informar de que se está tratando la imagen, quién es el responsable, con qué finalidad y cómo ejercer los derechos. Con un dron esto es complicado porque no puedes entregar un cartel a cada persona: la AEPD admite la información por capas, con señalización en la zona, avisos previos e información accesible online, adaptada a cada operación.
Minimización, seguridad y plazos
Graba solo lo necesario para tu finalidad, conserva las imágenes el tiempo imprescindible, protege el almacenamiento y limita quién accede. En tratamientos a gran escala o en espacios públicos sensibles puede ser obligatorio realizar una Evaluación de Impacto antes de empezar. Ante la duda, la fuente vigente es siempre la propia AEPD.
"Los datos personales serán adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados."
Reglamento (UE) 2016/679 (RGPD), artículo 5.1.c
¿Puedes grabar sin pedir consentimiento a cada persona?
En muchos casos sí. El consentimiento no es la única base válida: puedes apoyarte en el interés legítimo o en la ejecución de un contrato, sobre todo cuando pedir permiso individual es inviable. Pero eso no te libera de informar ni de superar un juicio de proporcionalidad.
En rodajes, publicidad o eventos lo habitual es combinar interés legítimo, señalización y medidas de minimización, además de los permisos aeronáuticos específicos que ese tipo de trabajo exige. Lo vemos en drones en el sector audiovisual y en volar en ciudad o núcleo urbano, donde la presencia de personas es casi inevitable.
¿Se suman las sanciones de la AEPD y las de AESA?
Sí. Son regímenes sancionadores independientes: una infracción de seguridad aérea la sanciona AESA conforme a la Ley 21/2003, y una infracción de protección de datos la sanciona la AEPD conforme al RGPD y la LOPDGDD. Pueden concurrir por los mismos hechos.
En el plano aeronáutico, la Ley 21/2003 de Seguridad Aérea contempla en su artículo 55 multas de hasta 225.000 euros sin ánimo comercial y de hasta 4,5 millones de euros en uso comercial o profesional. En el plano de protección de datos, el RGPD prevé sanciones que pueden alcanzar varios millones de euros en los casos más graves. Tienes los tramos aeronáuticos explicados en multa por volar un dron sin permiso.
Coordinar las dos capas, la aeronáutica y la de protección de datos, es precisamente el tipo de papeleo que puedes delegar. En AERIA preparamos y tramitamos tu expediente ante el organismo competente y ordenamos la documentación de protección de datos que acompaña a cada operación, con sus plazos y su coordinación. La autorización siempre la concede el organismo competente, no AERIA: nosotros nos encargamos del proceso. Escríbenos a info@aer-ia.com o empieza en app.aer-ia.com, y si prefieres hablarlo antes tienes el formulario de contacto.