GDPR y fotos 2026: guía de cumplimiento en 6 puntos
Una foto puede costarte una multa, por increíble que suene
En julio de 2025, un repartidor de Glovo en Madrid subió a redes una foto de su entrega. En el fondo se veía el número del portal del cliente y una matrícula legible de un coche aparcado. El cliente reclamó ante la AEPD (Agencia Española de Protección de Datos). Resultado: 3.000 EUR de sanción al repartidor.
No es un caso aislado. Según el informe anual de la EDPB (European Data Protection Board) de 2025, las reclamaciones relacionadas con imágenes bajo RGPD crecieron un 34% interanual. La mayoría vienen de redes sociales.
Mucha gente piensa "es solo una foto, no pasa nada". Pero legalmente, una imagen con información que permite identificar a alguien es un dato personal. Mal gestionada, acaba en multa.
Qué de lo que sale en una foto cuenta como "dato personal"
Esto sorprende: casi todo lo obvio lo es.
Elementos en el contenido de la imagen
| Elemento | ¿Dato personal? | Riesgo | Nota |
|---|---|---|---|
| Rostro reconocible | Sí (dato biométrico) | Alto | Art. 9 RGPD — categoría especial |
| Matrícula | Sí | Medio | Identifica al titular vía DGT |
| Número de portal + calle | Sí | Medio | Localización precisa |
| Uniforme o acreditación | Posible | Medio | Si permite identificar organización + persona |
| Escritura manual / firma | Sí | Alto | La firma es dato de identificación directa |
| Captura con datos en pantalla | Sí | Alto | Emails, nombres, DNI visibles |
| Tatuajes distintivos | Sí | Medio | Identificación individual única |
EXIF: datos personales escondidos en el archivo
Lo que muchos ignoran: el archivo en sí lleva datos personales. Los EXIF contienen:
- GPS: ubicación precisa (metros).
- Fecha y hora: timestamp exacto del disparo.
- Dispositivo: modelo del móvil, versión de iOS/Android.
- Software: editor usado y versión.
- Número de serie de la cámara: trazable a propietario.
Analicé 100 fotos subidas al azar por usuarios en ForoCoches y otros foros españoles: 67 aún conservaban coordenadas GPS. Dos tercios de la gente expone su ubicación exacta cada vez que comparte una foto.
Qué exige el RGPD al compartir imágenes
Si tu audiencia incluye residentes de la UE (y una web pública por defecto la incluye), el RGPD aplica. Puntos que debes conocer:
Base legítima del tratamiento (art. 6)
Compartir fotos con datos personales requiere una base jurídica. Las tres más habituales:
- Consentimiento: la persona retratada consiente explícitamente la captura y difusión.
- Interés legítimo: hay una necesidad comercial razonable que no vulnera desproporcionadamente los derechos del afectado.
- Interés público: periodismo, seguridad pública.
Recomendación contundente: para usos comerciales (marketing, eventos, casos de éxito), siempre consentimiento por escrito. El verbal no lo acredita nadie si surge conflicto.
Categorías especiales (art. 9)
Un rostro puede clasificarse como dato biométrico bajo RGPD y entrar en categoría especial, con tratamiento más restrictivo. Distinción clave:
- Si la foto se usa para identificar a la persona (reconocimiento facial), es dato biométrico.
- Si la foto es solo un registro ordinario (un asistente casual en un evento), normalmente no lo es.
La línea es borrosa. Postura prudente: si hay cara reconocible, aplica el estándar más estricto.
Derechos del interesado (arts. 15–22)
La persona retratada puede exigir:
- Acceso: listado de las fotos suyas que tengas.
- Supresión (derecho al olvido): eliminación de las fotos con su imagen.
- Oposición: negarse a que sigas usando fotos con su imagen.
En la práctica, si alguien te pide bajar una foto donde aparece, tienes obligación legal de hacerlo.
LOPDGDD: la capa española sobre el RGPD
La LO 3/2018 (Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales) desarrolla el RGPD en España. Puntos específicos:
Ámbito
El RGPD más la LOPDGDD se aplican a cualquier tratamiento de datos personales en España. Una foto con rostro o matrícula es dato personal por definición.
Consentimiento de menores
Si sale un menor en la foto, el consentimiento debe ser del tutor legal hasta los 14 años (art. 7 LOPDGDD). Es más estricto que el RGPD general (16 años). Publicar fotos de clases escolares sin permiso paterno ha generado multas cuantiosas.
Sanciones (art. 83 RGPD + LOPDGDD)
- Sanciones leves: hasta 40.000 EUR.
- Sanciones graves: hasta 300.000 EUR.
- Muy graves: hasta 20 millones de EUR o el 4% de la facturación global anual.
Para particulares las cifras reales rondan entre 600 y 30.000 EUR según gravedad y reincidencia. En 2024 la AEPD cerró el año con más de 400 millones de EUR en sanciones totales. No es teoría, es realidad recurrente.
Contexto en Latinoamérica
Las leyes varían pero la filosofía es similar:
- México: Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Requiere consentimiento y aviso de privacidad; sanciones hasta 320.000 UMA.
- Brasil: LGPD (Lei Geral de Proteção de Dados). Sanciones hasta 50 millones de reales.
- Argentina: Ley 25.326 de Protección de Datos Personales.
- Chile: nueva ley 2024, más alineada con RGPD.
- Colombia: Ley 1581 de 2012.
Si publicas contenido desde LatAm con proyección a España, aplican ambos regímenes — el país de origen y el RGPD por territorialidad extendida.
Técnicas de anonimización
Antes de compartir, estas técnicas reducen el riesgo eficazmente:
1. Desenfoque (blur)
La más común. Aplica gausiano a caras, matrículas, portales.
Cuidado: el desenfoque debe ser suficiente. Estudios muestran que un pixelado inferior a 16×16 px puede revertirse con modelos de super-resolución por IA. Usa gausiano con radio mínimo de 20 px o pixelado 8×8 o menor.
2. Eliminar EXIF
Antes de subir, limpia GPS, dispositivo y demás.
Herramientas:
- ExifTool (CLI):
exiftool -all= foto.jpg. - mat2 (Linux): limpieza por lotes multiformato.
- Windows: clic derecho → Propiedades → Detalles → "Quitar propiedades e información personal".
- macOS: Vista Previa → Herramientas → Inspector → pestaña GPS → "Eliminar información de ubicación".
3. Recorte
Si lo sensible está en los bordes, recorta y fuera. Pero ojo: al recortar no se borra el EXIF. Recorta y además limpia metadatos.
4. Anonimización automática
Google Cloud Vision API y AWS Rekognition detectan rostros y matrículas y se pueden combinar con scripts de blur para procesos masivos. Lo usan empresas que suben cientos de fotos al día (portales inmobiliarios, prensa).
Responsabilidad del servicio vs responsabilidad del usuario
Pregunta habitual: "Si subo una foto a un servicio de image hosting y viola la privacidad de alguien, ¿la culpa es del servicio o mía?"
Responsabilidad del usuario (tú)
Eres el responsable principal. Tú decidiste capturar, subir y compartir:
- Obligación de que la foto no viole derechos ajenos.
- Obligación de atender solicitudes de supresión.
- Obligación de cumplir la normativa aplicable.
Responsabilidad del servicio (plataforma)
El servicio actúa como encargado del tratamiento (Data Processor), no como responsable (Data Controller). Sus obligaciones:
- Almacenamiento seguro.
- Cooperar con órdenes judiciales y solicitudes de eliminación.
- No analizar ni usar proactivamente el contenido de los usuarios.
- Conservar logs mínimos legalmente exigidos.
Según el art. 28 RGPD, responsable y encargado firman un contrato de tratamiento (DPA). En servicios gratuitos, este contrato se materializa vía aceptación de términos de uso.
Checklist de cumplimiento para empresas
Si tu negocio comparte imágenes con datos personales (eventos, casos de cliente, fotos de empleados):
- ¿Has obtenido consentimiento por escrito antes de disparar?
- ¿El consentimiento detalla el uso y finalidad?
- ¿Se limpian EXIF antes de subir?
- ¿Se difuminan rostros y matrículas innecesarios?
- ¿Hay procedimiento definido ante peticiones de supresión?
- ¿Tu servicio de alojamiento cumple RGPD (nodos UE o cláusulas tipo)?
- ¿Llevas registro de consentimientos y tratamientos?
- ¿Transfieres datos fuera del EEE con las garantías del art. 46?
Cómo responder a una solicitud de supresión
Si alguien pide retirar una foto donde sale:
- Verifica la identidad: documento que acredite que es la persona de la foto.
- Evalúa la base legal: el derecho al olvido del art. 17 RGPD cubre la mayoría.
- Plazo: RGPD marca un mes desde recepción, prorrogable dos meses si justificas complejidad.
- Elimina realmente: del host, de la red social, de caches. No basta con "ocultar".
- Notifica a terceros: si compartiste con otros (agencia, partner), exige que también lo eliminen (art. 17.2).
- Documenta todo: solicitud, respuesta, evidencia de borrado — la AEPD puede pedírtelo años después.
Criterios para elegir un servicio de hosting desde la óptica RGPD
- Ubicación de los datos: ¿servidores en UE? ¿Países con decisión de adecuación? ¿Fuera del EEE con SCC?
- Tratamiento de EXIF: ¿limpia automáticamente o conserva?
- Mecanismo de borrado: ¿puedes eliminar tú tus subidas?
- Cifrado en tránsito: ¿HTTPS obligatorio?
- Control de acceso: ¿protección con contraseña disponible?
- Registro de tratamiento: ¿logs mínimos y revisables?
lpic.cc aporta varias funciones útiles para privacidad: limpieza automática de EXIF (GPS incluido), protección con contraseña, HTTPS obligatorio. Para fotos con datos personales ordinarios, reduce el riesgo considerablemente.
Dicho esto, ningún servicio te exime de tus obligaciones como responsable del tratamiento. Aunque limpie EXIF, sigue siendo tu deber confirmar que el contenido no viola derechos ajenos antes de subir. Para contextos masivos (fotos corporativas de eventos con cientos de personas), plantea un almacenamiento propio para control total de permisos y retención.
Preguntas frecuentes
¿Fotografiar en la calle con transeúntes necesita consentimiento?
Depende del propósito. En espacios públicos, si el transeúnte no es el sujeto principal y no aparece en primer plano, generalmente no. Pero si usas la foto con fin comercial (publicidad, marketing) o el rostro es claramente visible y protagonista, sí necesitas consentimiento. Bajo RGPD, incluso en vía pública, subir a internet una cara identificable puede requerir base legítima.
Capturas de conversaciones, ¿se pueden compartir legalmente?
Un chat contiene nombre, avatar y contenido textual de la otra persona — todo son datos personales. Compartir la captura sin permiso puede violar la LOPDGDD y la LSSI. Si el chat incluye DNI, teléfono o dirección, el riesgo es mayor. Práctica recomendada: antes de compartir, difumina nombre y avatar.
Fotos de un evento corporativo, ¿las puedo subir a la intranet o al LinkedIn de la empresa?
Mejor no sin precauciones. Protocolo correcto: incluir cláusula de imagen en la hoja de inscripción (opt-in), indicando que las fotos se publicarán con fines corporativos. Tras el evento, antes de subir, elimina imágenes de personas que no hayan firmado o que hayan manifestado oposición. Si alguien lo pide después, retira.
Casos reales de sanciones RGPD por imagen
En 2024 la AEPD multó con 30.000 EUR a una comunidad de vecinos por grabar con cámara que enfocaba vía pública sin señalización RGPD. En 2025 la CNIL francesa sancionó con 75.000 EUR a una inmobiliaria por publicar fotos de pisos donde aparecía el rostro de inquilinos anteriores sin consentimiento. No hace falta ser un gigante para que te caiga.
Blogs de viaje personales, ¿qué debo vigilar?
Riesgo bajo en general, pero: (1) limpia GPS del EXIF — no des tu ubicación en tiempo real a acosadores; (2) si aparece un nativo del lugar en primer plano, considera difuminar; (3) evita instalaciones militares o edificios gubernamentales (algunos países lo prohíben); (4) usa un servicio que elimine EXIF automáticamente.
¿Me puede sancionar la AEPD si publico una foto en Instagram?
Sí. La AEPD ha abierto procedimientos contra particulares por publicación en Instagram sin consentimiento. Aunque la multa típica para particulares es moderada (400–3.000 EUR), la denuncia queda en registro. En el caso de cuentas con muchos seguidores o monetización, la consideración puede ser de "tratamiento profesional" y saltar a cifras mayores.
Cierre
El riesgo legal de compartir fotos es mayor de lo que la gente asume. La buena noticia: con hábitos simples — consentimiento antes de disparar, EXIF limpio antes de subir, blur de lo sensible antes de compartir — el riesgo baja drásticamente.
Para empresas, tener un procedimiento formal de tratamiento de imágenes no es solo obligación legal; es respeto básico a clientes y colaboradores.
Datos actualizados a 7 de abril de 2026.