Checklist RGPD para fotografía de eventos corporativos: guía para organizadores

Tienes tres semanas antes de una conferencia de 400 personas. La agenda está cerrada, las acreditaciones ya están en imprenta y alguien de legal acaba de preguntar si la herramienta de fotos que elegiste es “cumplidora de RGPD”. No necesitas un grado en derecho: necesitas una lista de verificación que puedas completar y devolver con confianza.

Esta es esa lista. Está escrita para planificadores de eventos, responsables de RR. HH. y compras que gestionan eventos corporativos en la UE/EEE, donde tomar fotos y vídeos de asistentes identificables es procesamiento de datos personales desde que llega la primera imagen. Revisa las secciones siguientes antes del evento y habrás cubierto las obligaciones que realmente se revisan en compras: base jurídica, aviso informativo, retención, borrado, transferencias internacionales y DPA, con la regulación citada para que legal pueda verificar cada línea.

Hay seis secciones, ordenadas como se desarrolla un evento. Cada una es una breve lista de comprobaciones de sí/no: marca todo y cubrirás lo que revisan los equipos de compras de la UE; deja una casilla vacía y ahí es donde tu DPO te señalará una objeción. Antes de empezar, una nota de alcance: las revisiones asumen galerías normales de fotos y vídeos (almacenamiento y visualización de imágenes), no reconocimiento facial. Si tu herramienta usa face-matching para agrupar o identificar asistentes, pasas a un régimen mucho más estricto; consulta la comprobación dedicada en la sección 1.

Sección 1 — Antes de elegir una herramienta: las verificaciones del proveedor

Aquí es donde un evento corporativo difiere más de una boda o cumpleaños. La plataforma que elijas no es solo una decisión de funcionalidades; es una decisión de tratamiento de datos que tu equipo legal auditará. Realiza estas comprobaciones con cualquier proveedor preseleccionado.

☐ ¿El proveedor ofrece un acuerdo de encargo de tratamiento (DPA) conforme al Artículo 28 de la RGPD? Cuando una herramienta externa procesa datos personales en tu nombre y bajo tus instrucciones, la relación es de responsable a encargado, y el Art. 28(3) de la RGPD exige un contrato escrito vinculante. Debe establecer el objeto, duración, naturaleza y finalidad del tratamiento, tipos de datos y categorías de interesados, y tus derechos como responsable, e imponer al encargado un conjunto de obligaciones definido (procesar solo conforme a tus instrucciones documentadas, confidencialidad, seguridad, condiciones para subencargados, ayuda con derechos de los interesados, eliminación o devolución al finalizar el servicio y sometimiento a auditorías). Si un proveedor no puede aportar un DPA, una empresa de la UE no puede usarlo. (RGPD Art. 28(3).)

☐ ¿El proveedor nombra a sus subencargados y su ubicación? Las condiciones de DPA para usar subencargados forman parte del artículo 28. No puedes completar un análisis de transferencia ni una evaluación de riesgo del proveedor si no sabes quién más trata los datos ni desde qué país.

☐ ¿El proveedor se compromete, por escrito y contractualmente, a borrar o devolver los datos al finalizar el encargo? Esta es una obligación obligatoria del artículo 28(3) para procesadores. Inclúyelo en el contrato, no en un email de ventas.

☐ ¿Dónde están alojados los datos y lo comunica claramente el proveedor? Si el proveedor no puede indicar la jurisdicción de hosting, tu análisis de transferencia es imposible. Trátalo como un fallo si responde “no lo revelamos”. (La sección 5 explica qué hacer según la respuesta.)

☐ ¿La herramienta utiliza reconocimiento facial — y, de ser así, quieres asumir esa responsabilidad? Esta es la comprobación más fácil de pasar por alto, porque la búsqueda por rostro se vende como comodidad. Una foto de un rostro no es automáticamente un dato de categoría especial; el considerando 51 confirma que las imágenes entran en la definición de datos biométricos «solo cuando se procesan a través de un medio técnico específico que permita la identificación o autenticación única de una persona física».

Pero en el momento en que una herramienta crea una plantilla facial para agrupar asistentes o permitir que la gente encuentre "todas las fotos de mí" por selfie, está tratando datos biométricos con el fin de identificar de manera única a una persona, algo que el artículo 9(1) prohíbe salvo una excepción específica (normalmente consentimiento separado y explícito). Eso supone una barrera de consentimiento mucho más alta que en las fotos comunes.

Varios competidores en este mercado destacan la búsqueda por reconocimiento facial; en un evento corporativo con empleados, esa función convierte tu colección de fotos en un tratamiento del art. 9 con obligación de consentimiento expreso documentado que no solicitaste. (RGPD art. 9(1); considerando 51.)

Sección 2 — Establece tu base legal

Eres el responsable: tu organización decide por qué y cómo se procesan las fotos. Cada acto de tratamiento necesita una base legal bajo el Art. 6. Para fotos de eventos ordinarios hay dos opciones realistas; elegir bien marca la diferencia entre una posición defendible y una simple conjetura.

☐ ¿Has identificado tu base jurídica del Art. 6 y es la adecuada para este uso? El interés legítimo (Art. 6(1)(f)) es aplicable cuando el tratamiento es necesario para tus intereses o los de un tercero y no se ven superados por los derechos del interesado, con una protección reforzada cuando hay un menor. El consentimiento (Art. 6(1)(a)) debe ser específico, informado y libre; es la base más segura y la requerida cuando el equilibrio no se cumple o hay datos de categoría especial. (RGPD art. 6(1)(a) y 6(1)(f)).

☐ Si te basas en el interés legítimo, ¿has realizado y registrado la prueba de equilibrio? «Suponíamos que estaba bien» no es una prueba documentada. Para documentación interna de bajo riesgo — unas pocas tomas en la próxima actualización del equipo — el interés legítimo puede ser suficiente, pero solo si realmente lo has ponderado y registrado.

☐ Para fotos de empleados específicamente, ¿has tenido en cuenta la relación laboral? Como los empleados dependen de su empleador, los reguladores desconfían de que el consentimiento en ese contexto sea realmente « libremente otorgado ». En Alemania, BDSG §26 regula directamente los datos de empleados: permite el tratamiento cuando es necesario para la relación laboral y reconoce que el consentimiento en contexto laboral puede ser válido, pero debe evaluarse su voluntariedad y normalmente debe ser por escrito. La necesidad según §26 suele ser inadecuada para fotos de marketing o reclutamiento, así que para cualquier uso externo la vía más sólida es un consentimiento libremente otorgado, documentado y con derecho a rechazar sin consecuencias. (Nota: §26(1) se ha considerado en parte contrario al derecho de la UE, por lo que el tratamiento también puede descansar directamente en el Art. 6 GDPR — otra razón para basar las fotos promocionales en un consentimiento limpio y explícito.) (BDSG §26(1).)

Una regla práctica para marcar:

• Documentación interna de bajo riesgo → el interés legítimo puede bastar (con una prueba de equilibrio documentada).

• Uso hacia el público, marketing o reclutamiento → consentimiento expreso y voluntario, rechazo sin desventaja.

Sección 3 — Preparar el aviso de información (transparencia)

La transparencia no es opcional y un cartel que nadie lee no la cumple. Cuando recopilas datos personales directamente de la persona afectada, el artículo 13(1) exige proporcionar un conjunto definido de información en el momento de la recogida: la identidad y datos de contacto del responsable, la finalidad y la base jurídica del tratamiento y, cuando te bases en el interés legítimo, los intereses concretos perseguidos. (GDPR Art. 13(1).)

Marca cada elemento en tu checklist:

☐ Quién es el responsable (tu organización), cómo contactarlo y el DPO si lo tienes. ☐ Por qué recoges las fotos (newsletter interna, galería intranet, página de reclutamiento). ☐ La base legal, y si es interés legítimo, en qué consiste ese interés. ☐ Cuánto tiempo se conservan las imágenes. ☐ Qué derechos tienen los asistentes, incluido el derecho de oposición y de supresión.

☐ ¿El aviso aparece en el momento de capturar o subir, y no escondido en otro sitio? En un flujo de recolección con QR, la página de destino de carga es el lugar natural para ello. Cuando el escaneo lleva a un asistente a la pantalla de carga, la información está justo allí y el consentimiento (donde se base en él) se recoge en contexto, no por defecto. Una herramienta que lo capture al subir facilita marcar fácilmente este control.

Sección 4 — Establece la retención antes del evento

El almacenamiento indefinido es un incumplimiento a la espera de ser detectado. Dos principios del artículo 5 rigen cuánto tiempo pueden conservarse las fotos:

• Principio de minimización de datos (art. 5.1.c): los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para la finalidad.

• Limitación de conservación (art. 5(1)(e)): los datos deben conservarse en forma identificable durante no más tiempo del necesario para la finalidad. (RGPD art. 5(1)(c) y 5(1)(e).)

☐ ¿Has definido un plazo de retención antes del evento, no después de una queja? Un álbum que se borra automáticamente tras una ventana fija refuerza la limitación de almacenamiento por ti, en lugar de depender de que alguien recuerde limpiar una carpeta compartida. Por eso, una herramienta con retención definida y automática vence claramente a una carpeta ad hoc. A modo de referencia, los niveles por evento de Gathmo tienen ventanas de retención explícitas y finitas — de 30 días en Free hasta 365 días en el nivel alto — en lugar de almacenamiento abierto. Sea cual sea tu opción, el punto de control es el mismo: una fecha de fin definida para los datos.

☐ ¿Recoges solo lo necesario? La minimización ya es un control por sí sola. Si la herramienta recoge metadatos o medios para los que no tienes finalidad, esa casilla no se puede marcar de buena fe.

Sección 5 — Gestión de transferencias internacionales y residencia de datos

Si tus asistentes abarcan varios países de la UE, mantén la misma lista de verificación RGPD. La pregunta más difícil es dónde van los datos, y ahí la elección de la herramienta se convierte en una decisión de cumplimiento.

☐ ¿Sabes si algún dato sale de la UE y hay un mecanismo lícito de transferencia si ocurre? Las transferencias fuera de la UE solo son legales con una decisión de adecuación (Art. 45) o salvaguardas adecuadas como cláusulas contractuales tipo (Art. 46), con derechos y remedios exigibles. A mediados de 2026, la decisión de adecuación del DPF UE-EE. UU. (adoptada en julio de 2023) sigue vigente: el Tribunal de Justicia de la UE desestimó el primer reto en septiembre de 2025, y un recurso de apelación está pendiente ante el TJUE sin fecha de vista anunciada. Por eso, transferencias a organizaciones estadounidenses certificadas DPF son posibles, pero el marco no está libre de riesgo; las SCC más una evaluación de impacto de transferencia siguen siendo la cobertura prudente. (RGPD Art. 45, Art. 46(2)(c); TJUE C-311/18 Schrems II; Decisión Comisión DPF 2023.)

☐ El atajo más limpio: ¿la herramienta mantiene los datos en la UE? La forma más simple de evitar toda la cuestión de transferencia es dejar los datos en la UE desde el inicio. Mirando la información pública disponible de cada proveedor a fecha 8/6/2026:

• Varias herramientas populares son explícitamente estadounidenses: GuestCam indica que sus datos se alojan en nube de EE. UU. sin opción UE/Europa; Kululu guarda el contenido principal en servidores de Google Cloud (Firebase) en Estados Unidos; Fotify es operada por una empresa de Delaware, EE. UU.
• Un grupo más pequeño está alojado en la UE: EventPics (gestionado por una empresa austríaca, hosting en región UE) y JoinMyMoment (subencargados UE/EEE en Alemania, Francia y AWS Frankfurt) mencionan explícitamente la residencia en la UE.
• Algunas herramientas no especifican claramente dónde alojan los datos: eso ya es una alerta en compras, porque no puedes hacer un análisis de transferencia con un campo en blanco.

Gathmo está construido para este control exacto: residencia de datos en la UE, con almacenamiento de objetos en jurisdicción UE, base de datos principal en Frankfurt, computación UE y DPAs con sus procesadores. La residencia viene con prueba — un centro de datos nombrado y DPAs de procesadores firmados—, no con una medalla de marketing. Aun así, seas precisos: varios proveedores afirman tener servidores europeos; el equipo de procurement debe probar prueba verificable y DPA firmada, no solo la afirmación de UE por sí sola.

Sección 6 — Prepárate para una solicitud de borrado

Ese es el derecho al olvido, y no es una cortesía que puedas rechazar. Según el artículo 17(1), el interesado puede exigirte borrar sus datos personales sin dilación indebida cuando concurra un motivo (por ejemplo, que los datos ya no sean necesarios o se haya retirado el consentimiento y no exista otra base legal). También hay un plazo estricto: el artículo 12(3) exige responder sin demora indebida y, en cualquier caso, en el plazo de un mes desde la recepción, ampliable por dos meses más en solicitudes realmente complejas o numerosas, pero solo si notificas a la persona la prórroga y sus motivos dentro de ese primer mes. (RGPD art. 17(1); art. 12(3).)

☐ ¿Sabes dónde vive cada foto para poder realizar una eliminación desde un solo lugar? Si los medios del evento están repartidos entre teléfonos, grupos de chat y discos compartidos, una solicitud de borrado en un mes se convierte en un caos manual. Una galería única gestionada con una ruta de borrado clara lo convierte en una sola acción: esa es la razón operativa de usar una sola solución.

☐ Si su base es el consentimiento, ¿retirarlo es tan fácil como dárselo? Un asistente puede retirar su consentimiento y entonces deben borrar (salvo que exista otra base legal). La ruta de retirada debe ser real, no solo teórica.

☐ ¿Ha confirmado el proveedor que ejecutará borrados bajo solicitud dentro del plazo legal? Haz la pregunta directa y pídela por escrito: ¿pueden eliminar contenido de una persona específica, a petición, dentro del plazo legal, y se comprometen por escrito? En Gathmo, el borrado conforme al RGPD bajo solicitud forma parte del modelo. En este mercado una DPA dedicada y una lista publicada de subencargados son la excepción, no la norma; por eso es clave cerrar el camino de borrado por escrito antes de firmar, en vez de descubrirlo durante una solicitud en vivo.

Un detalle práctico: el código QR en la credencial

Si recopilas mediante un código escaneable en credenciales, tarjetas de mesa o señalización de escenario, la página de carga a la que apunta también debe alojar el aviso del artículo 13 — un código que no se escanea no solo pierde fotos, también aleja a los asistentes del aviso de consentimiento. Unas especificaciones lo mantienen usable: en credencial o chapa al menos 2x2 cm (2,5x2,5 cm es más cómodo a distancia de brazo); en una pancarta de escenario desde lejos, mucho mayor. Respeta la zona tranquila, usa código oscuro sobre fondo claro y prueba un ejemplar en tamaño real antes de imprimir cientos.

La lista de verificación en una página

Imprímelo y muéstraselo a tu Delegado de Protección de Datos

1. Proveedor — DPA (Art. 28) proporcionado · subencargados nombrados · borrado/devolución comprometido · hosting indicado · reconocimiento facial comprendido y elegido de forma deliberada.

1. Base legal: base del Art. 6 identificada; prueba de balance documentada (si interés legítimo); fotos de empleados con consentimiento documentado cuando son de uso externo (Art. 6, BDSG § 26).

1. Transparencia: aviso del Artículo 13 preparado, completo y mostrado en el momento de la subida.

1. Borrado: período de retención finito definido por adelantado · solo recopila lo que necesitas (Art. 5).

1. Transferencias: sabes si los datos salen de la UE y con qué mecanismo legal, o los mantienes directamente en la UE (art. 45–46).

1. Borrado — todos los medios en un solo lugar · consentimiento revocable · el proveedor se compromete a eliminar en un plazo de un mes (Art. 17, Art. 12(3)).