Publicar una fotografía corporativa parece una acción sencilla, pero cuando una persona puede ser identificada estamos ante un tratamiento de datos personales y, además, puede entrar en juego su derecho fundamental a la propia imagen. Una foto del equipo en la web, una imagen de un cliente satisfecho o un vídeo de un evento pueden ser copiados, indexados, compartidos y reutilizados mucho más allá del contexto en el que fueron obtenidos.
Por eso, publicar fotos de empleados o clientes no debe reducirse a preguntar si alguien «posó para la foto». La empresa debe definir previamente para qué utilizará la imagen, en qué canales se difundirá, durante cuánto tiempo y qué base jurídica permite el tratamiento. Captar la imagen, conservarla y publicarla son operaciones distintas y no siempre pueden ampararse en la misma autorización.
¿Una fotografía es un dato personal?
Sí, cuando permite identificar directa o indirectamente a una persona. La identificación puede producirse por el rostro, pero también por el uniforme, el lugar de trabajo, una acreditación, el nombre asociado, el contexto o cualquier otro elemento que haga reconocible a la persona.
Esto no significa que toda fotografía sea automáticamente un dato biométrico de categoría especial. Para que exista dato biométrico en el sentido reforzado del RGPD debe producirse un tratamiento técnico específico de características físicas, fisiológicas o conductuales destinado a identificar o autenticar de manera unívoca a una persona.
El marco general puede consultarse directamente en el Reglamento General de Protección de Datos en EUR-Lex. En SIPY también explicamos cómo elegir correctamente las bases jurídicas del tratamiento de datos según la finalidad concreta.
Consentimiento para publicar fotos de empleados o clientes
En usos promocionales, testimoniales o publicitarios, el consentimiento suele ser la base más segura porque la difusión pública de la imagen normalmente no es necesaria para ejecutar un contrato laboral o prestar un servicio al cliente. Para ser válido, debe ser libre, específico, informado, inequívoco y demostrable.
Una autorización genérica del tipo «acepto el uso de mi imagen» es poco recomendable. Lo adecuado es identificar la finalidad y diferenciar, cuando sea necesario, entre web corporativa, redes sociales, publicidad de pago, prensa, materiales impresos, intranet u otros canales. También conviene informar sobre la duración prevista y sobre cómo puede retirarse el consentimiento.
La retirada del consentimiento no convierte en ilícitos los usos realizados mientras era válido, pero obliga a detener los usos futuros basados en esa autorización y a retirar las publicaciones que estén bajo el control de la organización. Si existen copias en manos de terceros, deberá actuarse razonablemente para solicitar su retirada cuando proceda.
Fotos de trabajadores: especial cautela en el ámbito laboral
Cuando una empresa decide publicar fotos de empleados o clientes debe valorar de forma especial el contexto laboral. Con los empleados hay una dificultad adicional: la relación de dependencia puede hacer que una aceptación aparentemente voluntaria no sea realmente libre. Un trabajador puede sentir que negarse a participar en una campaña o en una fotografía del equipo tendrá consecuencias, aunque nadie se lo diga expresamente.
Cuando la imagen se utiliza con fines promocionales o en redes sociales, debe existir una alternativa real y la negativa no debería generar perjuicios. Incluir una cláusula en el contrato laboral tampoco convierte automáticamente la publicación en necesaria para la relación de trabajo.
Solo en supuestos muy concretos la exposición pública puede estar objetivamente vinculada a las funciones contratadas. Incluso entonces deben respetarse los principios de necesidad, proporcionalidad, transparencia y minimización.
Esta cuestión debe conectarse también con el deber de confidencialidad de empleados y colaboradores, especialmente cuando las fotografías muestran pantallas, documentos, instalaciones o información de terceros.
Fotos de clientes, testimonios y casos de éxito
Que una persona sea cliente no autoriza a utilizar su fotografía como testimonio comercial. La ejecución del contrato legitima los tratamientos necesarios para prestar el servicio, pero normalmente no hace necesaria la publicación de su imagen en la web o en una campaña.
Si se quiere publicar un caso de éxito, conviene separar claramente la autorización para utilizar el nombre, el testimonio, la fotografía y los distintos canales de difusión. Además, debe revisarse el contexto: una imagen tomada en una clínica, una asociación, un centro educativo o un evento especializado podría revelar indirectamente información especialmente sensible.
El derecho a la propia imagen también debe respetarse
En España, el análisis no termina con el RGPD y la LOPDGDD. La Ley Orgánica 1/1982 protege civilmente el derecho al honor, a la intimidad personal y familiar y a la propia imagen. Captar, reproducir o publicar la imagen de una persona puede constituir una intromisión ilegítima cuando no exista consentimiento o una excepción legal aplicable.
El texto consolidado de la Ley Orgánica 1/1982 puede consultarse en el BOE. Esta protección es complementaria a la normativa de protección de datos: disponer de una base jurídica conforme al RGPD no elimina por sí solo las exigencias relativas al derecho a la propia imagen.
El alcance de la autorización importa. Aceptar una fotografía para una memoria interna no equivale necesariamente a autorizar una campaña en Instagram, LinkedIn o publicidad de pago. Finalidad, medio, alcance y contexto deben coincidir con lo que la persona entendió y aceptó.
¿Puede utilizarse el interés legítimo?
El interés legítimo puede valorarse en determinados contextos, por ejemplo en imágenes generales de un evento en las que las personas no sean protagonistas, exista una expectativa razonable y la difusión sea proporcionada. Sin embargo, no debe utilizarse como una fórmula automática para evitar pedir consentimiento.
Antes de utilizarlo es necesario identificar un interés legítimo real, comprobar que el tratamiento es necesario y realizar una ponderación frente a los derechos y expectativas de las personas afectadas. Primeros planos, testimonios individuales, campañas publicitarias o imágenes destinadas a destacar a una persona suelen exigir un análisis mucho más estricto.
Redes sociales: el control disminuye después de publicar
Las redes sociales amplifican el riesgo porque una imagen puede descargarse, capturarse, reenviarse, indexarse o reutilizarse fuera del control directo de la empresa. Algunas plataformas aplican además sus propios tratamientos relacionados con analítica, recomendaciones, publicidad o transferencias internacionales.
La empresa no puede garantizar que una imagen pública desaparezca de Internet por completo, pero sí debe controlar aquello que depende de ella: elegir el canal de forma consciente, informar de la difusión prevista, limitar la reutilización, retirar sus propias publicaciones y gestionar las solicitudes de las personas con rapidez.
Para integrar estas decisiones en un sistema de cumplimiento más amplio puede consultarse el servicio de protección de datos de SIPY, orientado a revisar bases jurídicas, información, procedimientos y medidas de seguridad.
Menores, biometría e inteligencia artificial
Las imágenes de menores y personas vulnerables requieren una valoración reforzada. No basta con disponer de una autorización formal: deben considerarse la edad, la finalidad, el nivel de exposición, el contexto y los riesgos futuros de la publicación.
El análisis cambia todavía más si se utilizan reconocimiento facial, clasificación biométrica, etiquetado automático, análisis de emociones o sistemas de inteligencia artificial. En estos casos pueden entrar en juego el artículo 9 del RGPD, la necesidad de realizar una Evaluación de Impacto relativa a la Protección de Datos y obligaciones específicas del Reglamento Europeo de Inteligencia Artificial.
Antes de introducir estas tecnologías conviene preguntarse si existe una alternativa menos intrusiva. Una tarjeta, un código, una imagen de ambiente o una fotografía profesional de banco pueden cumplir el objetivo sin convertir una acción de comunicación en un tratamiento de alto riesgo.
Buenas prácticas antes de publicar una imagen
Una organización que quiera publicar fotos de empleados o clientes debería aplicar un procedimiento sencillo y repetible. Primero, definir la finalidad antes de realizar la fotografía. Segundo, determinar qué personas serán identificables y qué información adicional puede revelar el contexto. Tercero, elegir y documentar la base jurídica adecuada. Cuarto, separar los canales de difusión y evitar autorizaciones excesivamente genéricas.
También es recomendable mantener un inventario de imágenes con la persona fotografiada, finalidad, canal, fecha de publicación, autorización aplicable, plazo previsto y situación actual. Este control facilita atender revocaciones, retirar campañas antiguas y demostrar responsabilidad proactiva.
Los repositorios internos deben disponer de permisos adecuados. Deben evitarse carpetas compartidas sin control, accesos indiscriminados, metadatos innecesarios y conservación indefinida. Los contratos con fotógrafos, agencias y proveedores deben definir sus responsabilidades y el destino de las imágenes cuando finalice el servicio.
Errores frecuentes que conviene evitar
- Suponer que posar para una fotografía equivale a autorizar cualquier publicación.
- Obtener una única autorización para web, redes sociales, publicidad y prensa sin diferenciar finalidades.
- Presionar directa o indirectamente a trabajadores para participar en contenidos promocionales.
- Mantener fotografías antiguas cuando ya terminó la finalidad o la relación con la persona.
- Publicar imágenes que muestran documentos, pantallas, acreditaciones, matrículas u otros datos innecesarios.
- Utilizar interés legítimo sin realizar y conservar una ponderación.
- No disponer de un procedimiento para retirar imágenes cuando se revoca el consentimiento.
Preguntas frecuentes
¿Puedo publicar la foto de un empleado en la web de la empresa?
Puede ser posible, pero si la finalidad es promocional normalmente debe existir una base jurídica específica y una participación verdaderamente voluntaria. La persona debe conocer la finalidad, los canales, la duración prevista y cómo retirar su autorización.
¿Posar para una foto significa consentir su publicación?
No necesariamente. Posar puede demostrar que la persona aceptó la captura, pero no que autorizó una difusión pública, comercial, indefinida o en canales que no le fueron explicados.
¿Una fotografía es siempre un dato biométrico?
No. Una fotografía identificable es un dato personal, pero solo tendrá la consideración de dato biométrico de categoría especial cuando se someta a un tratamiento técnico específico destinado a identificar o autenticar de forma unívoca a una persona.
¿Qué ocurre si la persona retira el consentimiento?
Deben cesar los usos futuros basados en ese consentimiento y retirarse las publicaciones bajo control de la organización. La retirada no afecta a la licitud del tratamiento realizado antes de producirse.
¿Puedo publicar fotos de clientes satisfechos?
Sí, cuando exista una autorización adecuada para el testimonio, la imagen y los canales concretos de difusión. Haber contratado un producto o servicio no convierte la publicación de la fotografía en una operación necesaria para el contrato.
Conclusión
Publicar fotos de empleados o clientes exige algo más que una autorización genérica. La empresa debe saber por qué necesita la imagen, dónde va a utilizarla, durante cuánto tiempo, quién tendrá acceso y cómo responderá si la persona cambia de opinión.
El mejor enfoque para publicar fotos de empleados o clientes es tratar las fotografías como cualquier otro activo que contiene datos personales: con finalidad definida, base jurídica documentada, información transparente, acceso limitado, plazos de revisión y capacidad real de retirada. La comunicación corporativa puede ser cercana y humana sin que las personas pierdan el control sobre su imagen.
Disclaimer
Este artículo tiene carácter exclusivamente informativo y general y no constituye asesoramiento jurídico. La licitud de la captación, conservación o publicación de una imagen depende de la finalidad, el contexto, la relación con la persona, el canal de difusión, la existencia de menores o colectivos vulnerables y las tecnologías utilizadas. Antes de publicar imágenes en situaciones dudosas o de especial riesgo conviene realizar un análisis específico y comprobar la normativa y criterios vigentes. Ante cualquier duda, puede contactar con nosotros.
