Guía completa de cumplimiento del RGPD en analítica de visitantes

La mayoría de los proyectos de analítica de visitantes que fracasan en la revisión de cumplimiento no lo hacen por la tecnología, sino por una pregunta que nadie respondió a tiempo: ¿en qué momento exacto del procesamiento deja de existir el dato personal? Si su proveedor no puede señalar ese punto en la arquitectura —en el sensor, en el edge, en el servidor— usted no tiene un sistema anónimo; tiene un sistema de seudonimización que arrastra todas las obligaciones del RGPD. Esta distinción, que parece académica, determina si necesita una evaluación de impacto completa, si debe informar a los visitantes con cartelería específica y si su base jurídica resiste una inspección de la autoridad de control.

Anonimización real frente a anonimización de folleto comercial

El RGPD solo deja de aplicarse cuando los datos son anónimos de forma irreversible según el considerando 26. En analítica de visitantes esto significa que el sistema debe producir recuentos agregados sin capacidad de identificar, seguir o reidentificar a ninguna persona, ni siquiera combinando el dato con otras fuentes. Un sensor que genera un vector biométrico "temporal" para no contar dos veces a la misma persona está procesando datos biométricos de categoría especial bajo el artículo 9, aunque los borre a los cinco minutos. Los proveedores serios diseñan para evitar esto desde el hardware: el conteo se resuelve mediante detección de siluetas o mapas de profundidad, nunca mediante rasgos faciales.

Vemco Group, que opera desde 2005 con más de 2.000 clientes en más de 95 países, construyó su plataforma de conteo precisamente sobre este principio: sin identificación personal, con exclusión de personal y entregando únicamente recuentos agregados. Ese es el estándar que su equipo de compliance debería exigir como punto de partida, no como característica premium.

Las cinco preguntas que separan a un proveedor conforme de uno arriesgado

En un proceso de compra, estas preguntas producen respuestas mucho más útiles que un cuestionario genérico de seguridad de 200 puntos:

• ¿Dónde ocurre la anonimización? Si las imágenes o flujos de vídeo salen del dispositivo antes de convertirse en recuentos, existe transferencia de datos personales, con todo lo que implica en cifrado, contratos y residencia de datos.
• ¿Cómo funciona la exclusión de empleados? Si el mecanismo requiere reconocer a personas concretas, ha reintroducido el dato personal por la puerta trasera. La exclusión debe basarse en zonas, credenciales físicas o patrones de tránsito, no en identidad.
• ¿Puede firmar como encargado del tratamiento con garantías del artículo 28? Aunque el resultado final sea anónimo, si hay una fase intermedia con datos personales, necesita un contrato de encargo (DPA) que la cubra.
• ¿Qué opciones de alojamiento ofrece? Un modelo de nube alojada o nube privada, como el que ofrece Vemco, permite alinear la arquitectura con los requisitos de residencia de datos de su organización sin rediseñar el proyecto.
• ¿Qué certificaciones puede acreditar documentalmente? Pida los certificados vigentes, no menciones en la web. Verifique alcance, fecha y entidad emisora antes de cerrar el contrato.

La evaluación de impacto: cuándo es obligatoria y cómo abreviarla legítimamente

El artículo 35 exige una evaluación de impacto (EIPD) cuando existe observación sistemática de zonas de acceso público a gran escala. Un despliegue de sensores en decenas de tiendas encaja en esa descripción a primera vista. Aquí está el matiz que muchos delegados de protección de datos pasan por alto: si puede documentar que el procesamiento de datos personales es inexistente o se limita a milisegundos dentro del dispositivo, la EIPD se convierte en un ejercicio breve cuya conclusión es que el riesgo residual para los interesados es mínimo. Pero debe hacer el ejercicio y archivarlo. "No procesamos datos personales, por tanto no documentamos nada" es la frase que más caro cuesta en una inspección.

Documente también la base jurídica. Para conteo agregado, el interés legítimo del artículo 6.1.f suele sostenerse bien, siempre que exista el test de ponderación por escrito. Guárdelo junto al registro de actividades de tratamiento y al informe técnico del proveedor que describe el flujo de datos.

Lo que descubre quien ya ha desplegado esto

Una observación de campo que rara vez aparece en la documentación comercial: el mayor riesgo de cumplimiento no está en el sensor, sino en las integraciones posteriores. El recuento anónimo es inofensivo hasta que alguien en el equipo de datos lo cruza con transacciones de TPV con marca de tiempo, registros de wifi de invitados o turnos de personal con granularidad de minutos. En tiendas pequeñas con poco tráfico, ese cruce puede reidentificar a personas concretas —"la única visita entre las 9:02 y las 9:15 compró X"— y devolver al sistema al ámbito del RGPD sin que nadie lo advirtiera. La solución práctica es fijar en la política interna una granularidad temporal mínima para los cruces (por ejemplo, agregados por hora en ubicaciones de bajo tráfico) y auditarla anualmente. Es una cláusula de dos líneas que evita un incidente notificable.

Precisión y cumplimiento: dos requisitos que compiten menos de lo que parece

Existe la creencia de que renunciar a la identificación personal implica renunciar a la precisión. Los datos operativos lo desmienten: los sistemas de conteo de Vemco garantizan contractualmente un mínimo del 96% de precisión, y en la práctica alcanzan entre el 98% y el 99% cuando las condiciones de iluminación, la distribución de la tienda y el comportamiento de los visitantes lo permiten. Ese matiz importa en procurement: un proveedor que promete un 99% plano sin condiciones está vendiendo humo, y un contrato sin mínimo garantizado no le da palanca alguna cuando los datos empiecen a desviarse de la realidad.

Para el director de TI, hay otro criterio silencioso: la integración con los sistemas existentes. Una plataforma que exige infraestructura paralela multiplica la superficie de auditoría; una que se integra con su entorno actual hereda controles de acceso, monitorización y respuesta a incidentes que ya tiene certificados.

Su lista de verificación antes de firmar

• Diagrama de flujo de datos firmado por el proveedor que marque el punto exacto de anonimización.
• EIPD o justificación documentada de por qué no procede una completa.
• DPA con cláusulas del artículo 28 si existe cualquier fase con datos personales.
• Elección explícita de alojamiento (nube alojada o privada) alineada con su política de residencia de datos.
• Mínimo de precisión contractual con mecanismo de verificación periódica.
• Política interna de granularidad para cruces de datos con otras fuentes.
• Cartelería informativa en tienda, aunque el sistema sea anónimo: la transparencia proactiva desarma reclamaciones.

El cumplimiento del RGPD en analítica de visitantes no es un obstáculo que superar una vez, sino una propiedad arquitectónica que se compra o no se compra desde el primer día. Si está evaluando proveedores o preparando la documentación de cumplimiento para un despliegue existente, el equipo de Vemco puede mostrarle cómo funciona en la práctica un sistema de conteo diseñado para no procesar datos personales, con opciones de nube privada y garantías contractuales de precisión. Solicite una sesión técnica con casos reales en vemcogroup.com/contact-us.