Análisis del ritmo de juego en un campo de golf: lo que debe saber el club

Un club de golf que instala sensores de cámara en su campo trata datos personales, incluso cuando las imágenes se difuminan. Se aplican entonces el RGPD y, en Suecia, la ley sueca de videovigilancia (kamerabevakningslagen). Aquí resumimos lo que el club debe hacer y cómo está diseñado TeeGuard para facilitarlo. Este texto no sustituye al asesoramiento jurídico.

¿Hace falta una autorización?

Normalmente no. En Suecia, una entidad privada como un club de golf no necesita autorización de la Autoridad Sueca de Protección de la Privacidad (IMY) para usar cámaras. Lo que sí debe poder demostrar el club es que la vigilancia es lícita según el RGPD, y ahí está el trabajo.

La ponderación de intereses

El club es el responsable del tratamiento y, por lo general, basa la vigilancia en el interés legítimo. Debe entonces ponderar su propio interés, por ejemplo mantener el ritmo de juego y detectar esperas, frente al interés de los jugadores en no ser vigilados. IMY señala que la privacidad pesa mucho en los lugares donde las personas disfrutan de su tiempo libre, como las instalaciones deportivas. IMY también menciona medidas que reducen la intrusión, entre ellas limitarse a ver las imágenes en tiempo real y usar imágenes de baja resolución.

Las preguntas que deciden la ponderación son más o menos las mismas para todos los clubes:

• Qué ve el sensor: solo zonas de juego, o también lugares donde las personas están en privado.
• Qué se guarda: vídeo, imágenes fijas o solo cifras.
• Durante cuánto tiempo se guarda.
• Si las personas pueden ser reconocidas en las imágenes.
• Quién tiene acceso a lo que se guarda.

La evaluación de impacto

Por lo general, se exige una evaluación de impacto relativa a la protección de datos (EIPD) cuando se cumplen al menos dos de los criterios de IMY. La vigilancia sistemática es uno de ellos, y el uso de nuevas tecnologías como el análisis con IA es otro. Cuente, por tanto, con hacer una. La evaluación describe el tratamiento, los riesgos y las medidas de protección, y debe estar terminada antes de que los sensores entren en funcionamiento.

Carteles

Quien entra en el campo debe poder ver que está vigilado por sensores antes de aparecer en la imagen. El cartel debe indicar la finalidad, quién es el responsable del tratamiento y cómo contactar con él, el delegado de protección de datos si el club tiene uno, los derechos de los interesados y dónde se encuentra la información completa, por ejemplo mediante un enlace o un código QR. La información completa puede estar en una segunda capa, por ejemplo en la web del club. Coloque los carteles a la altura de los ojos en las entradas y junto al primer tee.

El contrato con el proveedor

Cuando un proveedor trata los datos por cuenta del club, debe existir un contrato de encargo del tratamiento por escrito conforme al artículo 28 del RGPD. El contrato establece qué puede hacer el proveedor con los datos, dónde se almacenan, durante cuánto tiempo y qué subencargados se utilizan.

Cómo está diseñado TeeGuard

• El sistema busca personas, nunca rostros, y no tiene ninguna función para reconocer a nadie por su rostro.
• Una transmisión de vídeo cifrada se envía al servicio de TeeGuard en la región, donde la cabeza de cada persona que se detecta se difumina en memoria antes de guardar nada en la nube.
• No se graba vídeo. La transmisión de vídeo se analiza en memoria y nunca se guarda, y si se corta la red no se guarda ninguna imagen.
• Lo que se guarda es el número de personas, la hora, el color de la ropa, una franja de estatura aproximada y una imagen difuminada por evento.
• La imagen difuminada se borra en un plazo de 24 horas y los metadatos a los 30 días, salvo que se acuerde otra cosa.
• La base de datos y las imágenes se almacenan en la UE, y cada club ve solo sus propios datos.

Compartimos nuestra propia evaluación del interés legítimo y nuestra descripción de las medidas de protección, para que el club tenga una base de la que partir en su propia evaluación.