Protección de datos: lo que el operador debe hacer (y ante quién)

🏛️ CAPA OFICIAL — RGPD y LOPDGDD, citados por artículo. Manda sobre cualquier resumen.

La AEPD es el único organismo de esta capa que no te autoriza nada. No hay permiso que pedirle ni ventanilla a la que llegar antes de volar: hay deberes que se cumplen, y solo dos de ellos se presentan ante la Agencia. El marco conceptual está en privacidad-y-proteccion-de-datos; esta ficha es qué se hace, cuándo y por dónde.

🗣️ Si grabas gente sin querer, o te roban la tarjeta con las grabaciones de un vuelo

• «He grabado a gente que pasaba por allí.»
• «Se ven matrículas y ventanas de vecinos en el vídeo.»
• «He perdido el material grabado o me lo han sustraído.»
• «Un vecino me pide que borre lo que salga de su casa.»

🔑 La trampa del «somos menos de 250»

Circula mucho que las empresas pequeñas no tienen que llevar registro de actividades. La exención existe, y casi nunca te aplica. El art. 30.5 del RGPD, literal:

«Las obligaciones indicadas en los apartados 1 y 2 no se aplicarán a ninguna empresa ni organización que emplee a menos de 250 personas, a menos que el tratamiento que realice pueda entrañar un riesgo para los derechos y libertades de los interesados, no sea ocasional, o incluya categorías especiales de datos personales […].»

👉 Fíjate en «no sea ocasional». Un operador que graba por oficio no trata datos de forma ocasional: los trata cada vez que trabaja. Mi lectura es que la exención no le aplica y sí debe llevar el registro — y lo digo como lectura, no como hecho, porque el Reglamento no nombra a los operadores de UAS. Pero es la lectura prudente, el registro es un documento sencillo y no llevarlo es lo que se sanciona, no llevarlo de más.

📌 Y ojo a un matiz de rol: eres responsable del tratamiento cuando decides tú para qué se graba; si grabas por encargo y es el cliente quien decide la finalidad, puedes ser encargado, con otro reparto de deberes y un contrato de por medio. No es lo mismo y conviene tenerlo claro por escrito con el cliente.

La brecha de seguridad (tarjeta robada o perdida): 72 horas, y el reloj corre solo

Es el trámite con plazo más corto de toda esta capa, y el que más fácil se incumple porque nadie te avisa de que ha empezado. El art. 33.1 del RGPD:

«…el responsable del tratamiento la notificará a la autoridad de control competente […] sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas.»

Qué cuenta como brecha para un operador de dron: que te roben o pierdas la tarjeta SD con el vuelo, que se extravíe el portátil de edición, que alguien acceda al almacenamiento en la nube donde subes el material, o que mandes las imágenes al destinatario equivocado. No hace falta un ataque informático.

⭐ Dos detalles que salvan el plazo:

• La notificación puede ser inicial e incompleta. Se presenta dentro de las 72 h con lo que se sepa, y se amplía después — hay 30 días hábiles desde la inicial para completarla. Mejor una notificación a medias en plazo que una perfecta fuera de él.
• Si no llegas, hay que explicar por qué. El propio art. 33.1: «Si la notificación […] no tiene lugar en el plazo de 72 horas, deberá ir acompañada de indicación de los motivos de la dilación.» El retraso no se disimula: se motiva.

Por dónde: el canal de brechas de la sede electrónica de la AEPD (sedeagpd.gob.es), con su formulario propio. No hay buzón de correo para esto, y por eso el campo va vacío en esta ficha.

⚠️ Y hay una segunda notificación que se olvida: si la brecha entraña un alto riesgo para los afectados, hay que comunicárselo también a ellos, no solo a la Agencia.

El delegado de protección de datos: probablemente no lo necesitas

Buena noticia para el operador pequeño. El art. 34.1 de la LOPDGDD enumera quién está obligado a designar DPD —colegios profesionales, centros docentes, operadores de comunicaciones electrónicas, prestadores de servicios de la sociedad de la información que elaboren perfiles a gran escala, federaciones deportivas…— y un operador de UAS no aparece en esa lista. Solo entrarías por la vía del art. 37.1 del RGPD, que exige observación habitual y sistemática a gran escala: no es el caso de un trabajo aéreo ordinario.

Pero si lo designas voluntariamente, se convierte en un trámite con plazo, y este sí se presenta:

«Los responsables y encargados del tratamiento comunicarán en el plazo de diez días a la Agencia Española de Protección de Datos o, en su caso, a las autoridades autonómicas de protección de datos, las designaciones, nombramientos y ceses de los delegados de protección de datos.» (LOPDGDD, art. 34.3)

📌 Y también los ceses: si prescindes del DPD, hay que comunicarlo igual. Además, la AEPD «mantendrá una relación pública y actualizada de los delegados de protección de datos, accesible por cualquier persona».

La evaluación de impacto: antes de tratar, no después

El art. 35.1 del RGPD la exige cuando sea probable que el tratamiento —«en particular si utiliza nuevas tecnologías»— entrañe un alto riesgo para derechos y libertades:

«…el responsable del tratamiento realizará, antes del tratamiento, una evaluación del impacto de las operaciones de tratamiento en la protección de datos personales.»

🔑 «Antes del tratamiento» significa antes de volar, no después de entregar. Y la referencia a «nuevas tecnologías» apunta directamente a este sector: un dron con cámara sobre espacio público es el ejemplo de manual. No toda operación la necesita, pero la vigilancia sistemática de una zona o de personas sí encaja en los supuestos del art. 35.3.

📌 Si la evaluación concluye que queda alto riesgo residual pese a las medidas, hay que hacer consulta previa a la AEPD antes de empezar. Ese es el único caso en que le pides algo a la Agencia por adelantado.

Esto NO sustituye a nada más

🔑 Y al revés también: tener todos los permisos de vuelo no te da base jurídica para tratar las imágenes. Son dos mundos que no se hablan — y el sancionador de la AEPD es independiente del aeronáutico (sanciones-responsabilidad).

*Fuentes: RGPD (Reg. UE 2016/679), arts. 30, 33 y 35 (DOUE L 119) · LOPDGDD (LO 3/2018), art. 34 (texto consolidado del BOE). Canal de presentación y la ampliación de 30 días hábiles: sede electrónica de la AEPD. Comprobado 2026-08-21.*

Relación

aepd · privacidad-y-proteccion-de-datos · sanciones-responsabilidad · notificar-un-suceso-a-aesa · fotografia-aerea-zrvf · comunicacion-previa-interior · indice-de-tramites-y-permisos · matriz-de-permisos · rgpd