Fotos de Empleados en el Trabajo: Cuándo Necesitas Consentimiento

Tu empresa organiza una jornada de team building y el fotógrafo inmortaliza el momento. Quieres subir esas fotos a Instagram, publicarlas en la web corporativa y usarlas en un folleto de captación de talento. Parece algo completamente normal, ¿verdad? Pues bien, sin los pasos correctos, esa decisión puede costarte una sanción de la Agencia Española de Protección de Datos (AEPD).

La imagen de una persona es un dato personal protegido por el Reglamento General de Protección de Datos (RGPD) y por la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Esto significa que fotografiar, almacenar y publicar imágenes de tus trabajadores es un tratamiento de datos personales que requiere una base jurídica legítima.

En este artículo te explicamos todo lo que necesitas saber para hacerlo bien.

La imagen del trabajador es un dato personal

El artículo 4 del RGPD define los datos personales como cualquier información sobre una persona física identificada o identificable. Una fotografía en la que se reconoce a una persona cumple perfectamente esa definición. No importa si sale de fondo, si aparece junto a otras personas o si la foto no se tomó con intención de identificarla: si se la puede reconocer, es un dato personal.

Además, la imagen tiene una protección reforzada en el ordenamiento jurídico español a través de la Ley Orgánica 1/1982, sobre protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen. Esto añade una capa adicional de protección que va más allá del RGPD.

¿Cuándo necesitas consentimiento para fotografiar a un trabajador?

Aquí es donde muchas empresas cometen el primer error: confundir el contexto laboral con una excepción al consentimiento. La relación laboral no es una base jurídica suficiente para publicar imágenes de los empleados en todos los casos. Hay que distinguir dos situaciones muy distintas.

Imágenes en el desarrollo de la actividad laboral

Existe una diferencia importante entre fotografiar a un trabajador en su puesto de trabajo para documentar la actividad empresarial (por ejemplo, un cocinero en la cocina del restaurante, de espaldas o de forma que no sea identificable) y publicar un primer plano de su cara asociado a su nombre y cargo en la web corporativa.

En el primer caso, si la imagen no permite identificar a la persona de forma directa o si el trabajador aparece de forma meramente accidental y secundaria, puede argumentarse que no hay tratamiento de datos personales relevante o que existe un interés legítimo de la empresa. Pero en cuanto la imagen es identificativa, la situación cambia.

Imágenes identificativas: el consentimiento es imprescindible

Cuando vas a publicar fotos en las que el trabajador es claramente reconocible —ya sea en la web, en redes sociales, en publicidad, en catálogos o en cualquier material de comunicación— necesitas su consentimiento explícito e informado.

Este consentimiento debe reunir los requisitos del artículo 7 del RGPD:

• Libre: No puede condicionarse a la firma del contrato ni a la continuidad del empleo. El trabajador debe poder negarse sin consecuencias laborales.
• Específico: Debe indicar para qué se van a usar las fotos: web corporativa, Instagram, publicidad impresa, presentaciones comerciales, etc.
• Informado: El trabajador debe saber quién trata sus datos, con qué finalidad, durante cuánto tiempo y cuáles son sus derechos.
• Inequívoco: Debe ser una manifestación positiva y expresa. El silencio o la mera presencia en la foto no equivalen a consentimiento.

Usos habituales de imágenes de empleados y su base jurídica

Web corporativa: sección "Nuestro equipo"

Publicar la foto, el nombre y el cargo de cada empleado en la página web es uno de los usos más frecuentes. Para ello necesitas el consentimiento expreso del trabajador para esa finalidad concreta. Además, debes informarle de que puede revocar ese consentimiento en cualquier momento y de lo que ocurrirá con su imagen cuando lo haga o cuando deje de trabajar contigo.

Redes sociales corporativas

Instagram, LinkedIn, Facebook, TikTok... Las redes sociales amplían enormemente la difusión de las imágenes. Ten en cuenta que una vez publicada una foto en una red social, pierdes el control sobre cómo se va a compartir, descargar o reutilizar. Esto hace que el uso de imágenes de empleados en redes sociales sea especialmente sensible.

Necesitas consentimiento para cada tipo de publicación o, como mínimo, un consentimiento que abarque de forma clara y específica el uso en redes sociales. No basta con un consentimiento genérico para "material de comunicación".

Publicidad y material comercial

Si utilizas la imagen de un trabajador en publicidad —sea digital o impresa— el uso es especialmente intenso y requiere un consentimiento muy claro sobre la finalidad publicitaria, los soportes en los que aparecerá y la duración del uso. En muchos casos, además del consentimiento RGPD, se recomienda formalizar una cesión de derechos de imagen conforme a la LO 1/1982.

Eventos y fotografías de grupo

Las fotografías de eventos de empresa (comidas de Navidad, jornadas de formación, inauguraciones) presentan un caso particular. Si la foto es de grupo y ningún individuo destaca especialmente, puede argumentarse que el interés legítimo de documentar la actividad empresarial ampara su uso interno. Sin embargo, si vas a publicarlas, lo más prudente es informar a los asistentes antes del evento de que se van a tomar fotografías y para qué se usarán, dándoles la posibilidad de no aparecer o de oponerse a la publicación.

¿Qué pasa si el trabajador revoca el consentimiento?

El artículo 7.3 del RGPD establece que el interesado tiene derecho a retirar su consentimiento en cualquier momento, y que la retirada del consentimiento no afectará a la licitud del tratamiento basado en el mismo con anterioridad a su retirada.

En la práctica, esto significa que si un empleado revoca su consentimiento para el uso de su imagen, debes actuar de inmediato:

1. Retirar la imagen de todos los canales digitales donde esté publicada: web, redes sociales, plataformas de empleo.
2. Eliminar la imagen de los materiales físicos en la medida de lo posible, o dejar de distribuirlos.
3. Suprimir la imagen de tus sistemas internos si fue recabada únicamente con esa finalidad, salvo que tengas otra base jurídica para conservarla.

El plazo para atender una revocación de consentimiento no está fijado por el RGPD con un número exacto de días para cada acción, pero la norma exige que la retirada sea tan fácil como prestar el consentimiento. En la práctica, la AEPD considera que no actuar en un plazo razonable (habitualmente un mes, en línea con el plazo para responder solicitudes de derechos) puede constituir una infracción.

Conservación de imágenes tras la extinción del contrato

Cuando un trabajador deja de prestar servicios en tu empresa, el tratamiento de sus datos personales no puede continuar indefinidamente. Las imágenes que publicaste con su consentimiento durante la relación laboral deben ser suprimidas o despublicadas, salvo que:

• El extrabajador haya manifestado expresamente que consiente el uso de sus imágenes después del fin de la relación laboral (lo cual es poco habitual).
• Exista otra base jurídica que ampare la conservación, como una obligación legal o un interés legítimo muy específico y documentado.

Para las imágenes almacenadas internamente (archivos fotográficos, documentos internos), el plazo de conservación debe estar definido en tu política interna de retención de datos. Lo más habitual es conservar la documentación laboral durante cuatro años (plazo de prescripción de infracciones de Seguridad Social) o hasta cinco años en algunos casos, pero esto aplica a documentos contractuales, no necesariamente a fotografías de uso publicitario.

Fotografías tomadas por terceros en el ámbito laboral

Un escenario que cada vez plantea más dudas es el de las fotografías tomadas por clientes, proveedores o periodistas en las instalaciones de la empresa. Si en esas imágenes aparecen empleados identificables y la empresa las republica o las comparte, asume la responsabilidad del tratamiento.

Lo mismo ocurre con las fotografías de obras, instalaciones o servicios que el cliente comparte en sus propias redes sociales. Si en ellas aparecen empleados tuyos, técnicamente eres corresponsable del tratamiento o, al menos, tienes la obligación de informar a tus trabajadores de que esta situación puede producirse.

Videovigilancia y grabaciones: un caso aparte

Las cámaras de videovigilancia en el centro de trabajo tienen un régimen propio reconocido en la LOPDGDD (artículos 22 y 89). En este caso, la base jurídica no es el consentimiento sino el interés legítimo del empresario en la protección de sus instalaciones, pero deben cumplirse requisitos específicos: información a los trabajadores mediante carteles, registro en el RAT, limitación de la finalidad al control de accesos y seguridad, y plazo máximo de conservación de un mes (salvo requerimiento judicial).

Las grabaciones de videovigilancia no pueden usarse como imágenes corporativas ni publicarse. Su finalidad está tasada por la ley.

Cómo gestionar el consentimiento de imagen correctamente

Para evitar problemas, te recomendamos implementar este procedimiento:

1. Documento específico de consentimiento de imagen: Separado del contrato laboral, con indicación detallada de finalidades, soportes, duración y derechos del trabajador.
2. Registro del consentimiento: Guarda una copia firmada (física o electrónicamente) con fecha y hora.
3. Procedimiento de revocación: Indica en el propio documento cómo puede el trabajador revocar su consentimiento (correo electrónico, escrito al responsable de RRHH, etc.).
4. Inventario de usos: Mantén un registro de en qué canales está publicada cada imagen, para poder retirarla con agilidad si se revoca el consentimiento.
5. Revisión al fin del contrato: Incluye en el checklist de baja del empleado la revisión y supresión de sus imágenes en todos los canales.

Sanciones de la AEPD por tratamiento indebido de imágenes de trabajadores

Las infracciones relacionadas con el tratamiento de imágenes de empleados se encuadran habitualmente en el artículo 83.4 y 83.5 del RGPD. Las más frecuentes son:

• Publicación de imágenes sin consentimiento: infracción grave, multas de hasta 10 millones de euros o el 2% de la facturación global anual para las infrac­ciones del art. 83.4, y hasta 20 millones o el 4% para las del art. 83.5.
• No atender la solicitud de supresión o revocación de consentimiento: puede constituir vulneración del derecho de supresión reconocido en el artículo 17 del RGPD.
• Falta de información al trabajador sobre el tratamiento de sus imágenes: infracción de los artículos 13 y 14 del RGPD.

Para las PYMEs españolas, las sanciones reales suelen situarse entre 3.000 y 30.000 euros en los expedientes que la AEPD hace públicos, dependiendo de la gravedad y la intencionalidad. No son importes que una pequeña empresa pueda ignorar.

Resumen: lo que debes tener claro antes de publicar una foto de un empleado

• La imagen es un dato personal: siempre necesitas base jurídica para tratarla.
• El contrato laboral no es consentimiento para publicar imágenes.
• El consentimiento debe ser libre, específico, informado e inequívoco.
• Si el trabajador revoca el consentimiento, debes actuar de inmediato.
• Cuando el trabajador se va de la empresa, sus imágenes deben suprimirse de los canales públicos.
• Mantén un registro de los consentimientos obtenidos y de los usos de cada imagen.
• La videovigilancia tiene un régimen distinto: no uses esas grabaciones como material corporativo.