Una boutique de vestidos de novia fue sancionada con 10.000 euros por la Agencia Española de Protección de Datos (AEPD) por publicar en Instagram una fotografía de una de sus clientas sin su consentimiento. Aunque la Audiencia Nacional ha terminado absolviendo al negocio, este caso sirve como advertencia para los muchos autónomos y pequeños negocios que emplean las imágenes de sus clientes para promocionarse en redes sociales o llevar a cabo campañas publicitarias sin tomar las precauciones necesarias.
Y es que la tentación de mostrar el trabajo realizado, para promocionar el negocio, es comprensible. Aunque si no se hace bien, puede acabar en sanciones por vulnerar el Reglamento General de Protección de Datos (RGPD).
Una situación similar puede reproducirse en un gimnasio que publique vídeos de sus clases grupales, mostrando –aunque sea de lejos– rostros de usuarios; en un taller de repostería que comparta fotos de sus alumnas durante la elaboración de pasteles o en un estudio de reformas que suba imágenes de una vivienda recién reformada, sin el permiso explícito de sus propietarios.
El cliente seguía siendo identificable aunque el negocio desdibujó su rostro
La AEPD impuso la multa a la tienda de novias al considerar que, aunque el rostro de la clienta aparecía desdibujado, seguía siendo una imagen identificable. Argumentaban que se trataba de datos personales, porque la fotografía mostraba a la clienta y a su pareja en un espacio concreto y relacionado con su enlace nupcial. Incluso la clienta había presentado una reclamación al no haber dado autorización para la publicación.
Sin embargo, la Audiencia Nacional ha fallado a favor del negocio, al entender que la imagen no permitía identificar a las personas retratadas y, por tanto, no se trataba de datos personales. El tribunal también tuvo en cuenta que la fotografía fue publicada originalmente por la propia clienta en su cuenta personal de Instagram, donde etiquetó a la tienda.
Este matiz es clave, porque muchas veces los clientes publican contenidos en sus redes sociales que luego son compartidos por los negocios. Eso no significa automáticamente que exista un permiso para reutilizarlos con fines promocionales.
Compartir lo ya publicado no equivale al consentimiento expreso
El Reglamento General de Protección de Datos exige que cualquier tratamiento de datos personales –incluidas, por supuesto, las imágenes– cuente con una base jurídica. La más habitual para estos casos es el consentimiento, que debe ser previo, informado, específico y explícito. Además, el negocio debe conservar pruebas de que ese consentimiento fue otorgado.
En el caso de un pequeño centro de pilates, por ejemplo, puede parecer natural subir una historia de Facebook donde se vea una clase grupal. Pero si no se ha informado y recogido el consentimiento de cada persona que aparece en el vídeo, el negocio se arriesga a recibir una sanción por parte de la AEPD. Incluso aunque las caras estén parcialmente tapadas o no se escuche el audio, podría considerarse que los participantes son identificables.
Algo parecido podría pasar en una tienda de muebles, que documente el resultado final de una reforma en casa de un cliente. Si esa imagen muestra un cuadro, un espejo o cualquier otro detalle que permita vincular la vivienda con su propietario, se estaría incurriendo en un uso indebido de datos personales.
Una forma habitual de cumplir con la norma es mediante un documento firmado o una cláusula en el contrato de prestación de servicios. También puede incluirse un formulario digital, al inicio de una actividad, en el cual el cliente marque una casilla dando permiso para ser fotografiado o grabado. Y para que esas imágenes se usen con fines promocionales. Pero no basta con colgar un cartel informativo en el local, como hacen muchos negocios, si no se solicita de forma individual y voluntaria.
En negocios como las peluquerías, los centros de estética o los estudios de tatuajes, el uso de imágenes en redes es una herramienta clave para captar nuevos clientes. Mostrar el resultado de un tratamiento o de un diseño recién realizado forma parte del marketing diario. Sin embargo, esa estrategia puede volverse en contra si no se gestiona con criterios legales.
Los negocios deben tener precaución con las imágenes tomadas en espacios públicos
Respectar la privacidad personal no termina cuando por tratarse de terrazas en la vía pública, mercados populares o ferias, si en ellas se reconocen personas que no han dado permiso. Aunque el lugar sea público, el uso de la imagen para fines comerciales convierte el asunto en un tratamiento de datos. Y eso requiere consentimiento, salvo en situaciones muy excepcionales.
Otro riesgo habitual aparece cuando se organizan eventos con fotos o vídeos posteriores. Una librería que realice un cuentacuentos infantil, una academia de inglés que haga una jornada de puertas abiertas o una tienda de mascotas que convoque un desfile pueden acabar usando sin querer imágenes de asistentes que no han autorizado su difusión. Si esas personas aparecen de forma clara y reconocible, podría considerarse una infracción.
Incluso los negocios que trabajan con otras empresas deben tener cuidado si publican imágenes de proyectos o colaboraciones que incluyan a empleados o clientes de terceros. Un diseñador gráfico que muestre una sesión de trabajo con sus clientes, una agencia de comunicación que comparta capturas de reuniones o una empresa de reformas que documente una visita a obra, pueden estar vulnerando el derecho a la protección de datos si no cuentan con autorización previa.
Borrar la publicación en redes sociales después no exime de la posible sanción
No es necesario que aparezca su nombre o su rostro: bastan detalles como su voz, una prenda distintiva, un tatuaje o incluso el lugar donde se tomó la imagen. Si hay posibilidades razonables de identificarla, la imagen se considera un dato personal.
El consentimiento tampoco puede deducirse del contexto o de la actitud de la persona fotografiada. Aunque alguien pose para una cámara o sonría durante un acto, eso no implica que acepte que su imagen sea difundida en las redes del negocio. El RGPD exige que el consentimiento sea inequívoco, y no vale suponerlo.
Por otro lado, borrar la publicación tras una queja no exime de la posible sanción. En muchos casos, la Agencia actúa cuando el daño ya se ha producido. Y las multas pueden ascender a varios miles de euros, como demuestra el caso de la tienda de vestidos de boda; incluso aunque luego la justicia acabe anulando la sanción.
Para protegerse, muchos negocios optan por incluir cláusulas de cesión de imagen en sus contratos de servicios, por pedir autorizaciones por escrito o por establecer procedimientos internos para asegurarse de que sólo se publican imágenes de personas que han dado su consentimiento. También conviene revisar qué contenidos comparten en redes los propios clientes, pero sin asumir que eso autoriza automáticamente su uso por parte del negocio.
