GDPR y fotos de empleados en eventos: lo que RRHH debe saber en 2026

Tu empresa acaba de organizar su retiro de verano. Trescientas fotos están repartidas entre teléfonos personales, un grupo de WhatsApp del que nadie puede exportar bien y una carpeta compartida que alguien creó “temporalmente” en 2023. Comunicación interna quiere doce fotos buenas para el newsletter. Y una persona de la empresa acaba de pedir por correo que no se publique ninguna foto suya en ningún sitio.

Ese último correo es el que debería hacer que RR.HH. se detenga. Porque en cuanto tu organización recoge, guarda o publica fotos de empleados identificables, se aplica el RGPD, y “solo era la fiesta de Navidad” no es una defensa que acepte un delegado de protección de datos.

Esta guía está dirigida a responsables de RR. HH. y planificadores internos de eventos para explicar las obligaciones RGPD que aplican a las fotos de eventos de empleados: cuál es la base legal real, cuándo necesitas consentimiento y cuándo no, cuánto tiempo puedes conservar las imágenes y qué exigir a cualquier herramienta de recopilación antes de que toque el rostro de un solo empleado. Está escrita para el contexto UE/EEE, con notas específicas para Alemania.

¿La RGPD se aplica a las fotos de eventos de empleados?

Sí — y la exención de “uso personal” que suele circular no te exime.

El RGPD excluye el tratamiento realizado "por una persona física en el marco de una actividad puramente personal o doméstica" sin conexión con actividad profesional o comercial (Art. 2(2)(c)). Un invitado que conserva de forma privada sus propias fotos de la fiesta podría entrar en esta excepción. El empleador no. Un evento organizado por la empresa, fotografiado con fines empresariales — newsletter, intranet, página de reclutamiento, el siguiente deck de all-hands — es, por definición, un procesamiento profesional y comercial. La excepción protege al individuo; no protege a la organización en su calidad de responsable ni a ninguna plataforma que actúe como procesadora en su nombre.

Hay otro límite importante. El Tribunal de Justicia de la UE, en el caso Ryneš (C-212/13), interpretó estrechamente la excepción del ámbito doméstico: el tratamiento “dirigido hacia fuera desde el ámbito privado de la persona” — allí, videovigilancia en espacio público — no puede considerarse puramente personal. Aplicado a eventos, publicar fotos de otras personas fuera de un círculo privado cerrado (por ejemplo en internet abierto) probablemente cae fuera de esa excepción y sitúa claramente al publicador bajo el alcance del RGPD.

La respuesta práctica para RR. HH. es simple: asume que el RGPD se aplica a cada empleado identificable en cada foto que tu empresa recopila, desde el momento en que la recopilas.

¿Cuál es tu base legal: consentimiento o interés legítimo?

Todo tratamiento de datos personales requiere una base jurídica conforme al Art. 6. Para fotos de eventos comunes, hay dos opciones realistas: interés legítimo (Art. 6(1)(f)) y consentimiento (Art. 6(1)(a)).

El interés legítimo está disponible cuando el tratamiento es necesario para los intereses del responsable o de un tercero y esos intereses no se ven prevalecidos por los derechos y libertades del titular de los datos; requiere realizar y documentar una prueba de ponderación real, con mayor protección cuando interviene un menor. Para documentación de eventos de bajo riesgo y enfoque interno, muchas organizaciones pueden apoyarse en ello.

El consentimiento debe ser específico, informado y dado libremente. Es la base más segura y se convierte en la base exigida cuando el equilibrio del interés legítimo falla o cuando se tratan datos de categorías especiales.

El problema que afecta especialmente a RRHH es la relación laboral. Dado que los empleados dependen de su empleador, los reguladores son escépticos de que el consentimiento en ese contexto sea realmente "libre". La Ley Federal de Protección de Datos alemana trata directamente los datos de empleados en BDSG §26, permitiendo el tratamiento cuando es necesario para la relación de trabajo y reconociendo que el consentimiento puede ser válido, pero debe evaluarse por su voluntariedad dada esa dependencia y, por lo general, debería ser por escrito.

La lectura honesta para la fotografía corporativa en eventos es esta: la base de necesidad del artículo 26 suele encajar mal para fotos de marketing o newsletter (una imagen de reclutamiento pulida no es « necesaria » para ejecutar el contrato de trabajo). Así que para cualquier contenido externo o promocional, la vía defendible es un consentimiento libremente otorgado y documentado, con un derecho claro a negarse sin ninguna desventaja para el empleado. Ten en cuenta también que, tras la jurisprudencia de la UE y alemana, el artículo 26(1) se consideró en parte contrario al derecho de la UE, y el tratamiento también puede basarse directamente en el art. 6 del RGPD — otra razón para sustentar tus fotos en un consentimiento limpio y explícito en lugar de una argumentación forzada de necesidad.

Un criterio práctico para RRHH:

• Para documentación interna de bajo riesgo (unas pocas tomas en el siguiente update de equipo), el interés legítimo puede ser suficiente —si has hecho y registrado la prueba de equilibrio.

• Todo lo que se publique externamente o se use en marketing/reclutamiento: obtiene un consentimiento expreso y sin condiciones, y garantiza que rehusar no tenga consecuencias.

¿Necesitas un consentimiento explícito y separado para el reconocimiento facial?

Esta es la pregunta que separa una galería de fotos normal de una trampa legal — y es donde muchas apps de eventos para consumo crecen riesgos en silencio.

Una foto de un rostro no es automáticamente un dato de categoría especial. El considerando 51 del RGPD lo deja claro: las fotografías entran en la definición de datos biométricos «solo cuando se tratan mediante un medio técnico específico que permita la identificación o autenticación única de una persona física». El mero almacenamiento y visualización de fotos no activa el artículo 9.

Pero en cuanto una herramienta ejecuta extracción de características de reconocimiento facial — crear una plantilla de rostro para agrupar o identificar invitados, o permitir que alguien encuentre "todas mis fotos" por selfie — está tratando datos biométricos para identificar de manera única a una persona, algo prohibido por el Art. 9(1) salvo excepción específica (normalmente consentimiento explícito y separado). Esa es una barrera materialmente más alta que el consentimiento recogido para fotos normales.

Esto importa al elegir proveedor. Varios competidores presentan el reconocimiento facial como funcionalidad destacada. Esa capacidad es realmente útil en una boda; en un evento corporativo con empleados, convierte tu colección de fotos en un tratamiento del artículo 9 y te obliga a obtener consentimiento biométrico explícito y documentar una base del artículo 9. Para un equipo de RR.HH. que solo quiere tener las fotos del offsite en un sitio, ese es un riesgo que no buscas.

Detalle importante: Gathmo no ofrece reconocimiento facial ni búsqueda por rostro en el lanzamiento (está en fase 2 de la hoja de ruta, no es función en vivo). Para RRHH, esta ausencia es una ventaja: las galerías foto ordinarias que no crean plantillas faciales quedan, por defecto, fuera del alcance del artículo 9. Si quieres face-search algún día, trátalo como una decisión deliberada con consentimiento separado, no como un interruptor encendido en silencio.

¿Qué tienes que decirle a los empleados cuando recoges fotos?

La transparencia no es opcional y no se cumple con un cartel que nadie lee. Cuando recopilamos datos personales directamente del interesado, el artículo 13(1) RGPD exige proporcionar en el momento de la recopilación un conjunto definido de información: la identidad y datos de contacto del responsable, las finalidades y la base jurídica del tratamiento, y, si se basa en interés legítimo, los intereses legítimos específicos que se persiguen.

Para un evento, esto significa un aviso de información claro y accesible en el punto de captura o carga: quién controla las fotos, por qué, con qué base legal, cuánto tiempo se conservarán y qué derechos tiene el interesado. Un código QR que lleva a una página de carga es el sitio ideal para mostrarlo: la pantalla de entrada o carga puede incluir el aviso para que el consentimiento (cuando se base en él) se capture en contexto.

Una lista breve y sencilla para su aviso:

• Quién es el responsable (tu organización) y cómo ponerse en contacto con él, y también el DPO si lo tienes.

• Por qué recoges las fotos (por ejemplo, newsletter interna, galería de intranet).

• La base legal — y, si se trata de interés legítimo, cuál es ese interés.

• Cuánto tiempo se conservan las imágenes.

• Qué derechos tienen los empleados, incluyendo cómo oponerse y solicitar borrado.

¿Cuánto tiempo puedes conservar las fotos?

No de forma indefinida. Dos principios del Artículo 5 lo regulan:

• Minimización de datos (art. 5(1)(c)): los datos personales deben ser adecuados, pertinentes y limitados a lo necesario para la finalidad. Recoge el contenido y metadatos que necesitas, no todo lo que técnicamente puedas.

• Limitación de retención (Art. 5(1)(e)): los datos deben conservarse en forma identificable solo durante el tiempo necesario para las finalidades del tratamiento.

En la práctica, esto significa definir un periodo de retención antes del evento, no después de la queja. Una galería corporativa que se borra automáticamente tras una ventana definida, en lugar de vivir para siempre en una unidad compartida, es una postura más limpia. Aquí es donde una herramienta diseñada para ello con retención automática y definida supera a una carpeta improvisada: el sistema aplica la limitación de almacenamiento por ti en lugar de depender de que alguien recuerde borrarla.

Como referencia, los niveles por evento de Gathmo tienen ventanas de retención explícitas y finitas: 30 días en Free hasta 1 año en el nivel superior, en lugar de almacenamiento abierto, que es precisamente lo que pide el Art. 5(1)(e). Uses lo que uses, el principio es el mismo: una fecha de fin definida para los datos.

¿Qué pasa si un empleado te pide borrar sus fotos?

Este es el derecho de supresión, el "derecho al olvido", y no es un favor que se pueda rechazar.

Según el Artículo 17(1), el interesado puede pedir al responsable que elimine sus datos personales sin demoras indebidas cuando se da un motivo (por ejemplo, que los datos ya no sean necesarios para la finalidad, o que se retire el consentimiento y no exista otra base legal). Y hay un plazo estricto: el Artículo 12(3) exige responder la solicitud sin demoras indebidas y, en cualquier caso, dentro de un mes desde su recepción. Ese plazo puede ampliarse hasta dos meses más si la solicitud es realmente compleja o numerosa, pero solo si informas al interesado sobre la ampliación y su motivo dentro del primer mes.

Para RR. HH., se derivan dos consecuencias operativas:

1. Debes saber dónde vive cada foto. Si tus medios de evento están repartidos entre teléfonos, chats y unidades, cumplir una petición de borrado de un mes es un caos manual. Una galería única gestionada con una ruta clara de borrado lo convierte en una sola acción.

1. La retirada del consentimiento debe ser tan fácil como darlo. Si tu base jurídica es el consentimiento, un empleado puede retirarlo y entonces debes borrar (salvo que exista otra base legal válida).

Cuando evalúes un proveedor, haz la pregunta directa: ¿pueden eliminar el contenido de una persona concreta, a petición, dentro del plazo legal — y comprometerse a hacerlo? En Gathmo, el borrado conforme al RGPD por solicitud forma parte del modelo — ejecutado dentro del plazo legal en todos los niveles. Para procurement, lo importante es tener el proceso de borrado por escrito, no descubrirlo durante una petición en vivo.

¿Qué pasa con los eventos internacionales y las herramientas con sede en EE. UU.?

Si tus asistentes están repartidos por varios países de la UE, igual aplica el RGPD: no hay fronteras internas en la UE que cambien el análisis. La pregunta importante es dónde van los datos, y ahí la elección de la plataforma es una decisión de cumplimiento, no solo una cuestión de funcionalidades. Por qué la residencia de datos en la UE importa en la compra B2B explica cómo se traduce en un proceso de compra.

Las transferencias de datos personales fuera de la UE son legales solo con una decisión de adecuación (Art. 45) o salvaguardias apropiadas como las cláusulas contractuales tipo (Art. 46), con derechos y remedios ejecutables. A mediados de 2026, la decisión de adecuación del EU-US Data Privacy Framework (adoptada en julio de 2023) sigue vigente; el Tribunal General de la UE desestimó el primer recurso en septiembre de 2025 y hay una apelación pendiente ante el TJUE sin fecha de vista anunciada. Eso hace posibles las transferencias a organizaciones estadounidenses certificadas DPF, pero no elimina el riesgo; las SCC y una evaluación de impacto de transferencia siguen siendo la alternativa prudente.

La forma más sencilla de evitar toda la cuestión de transferencia es mantener los datos en la UE desde el principio. Aquí el mercado se divide claramente. Según información pública de empresas a junio de 2026:

• Varias herramientas populares son explícitamente estadounidenses: por ejemplo, GuestCam indica que sus datos están alojados en nube de EE. UU. sin opción UE/Europa, y Kululu guarda contenido principal en servidores de Google Cloud (Firebase) en Estados Unidos. Fotify está operada por una empresa de Delaware, EE. UU.
• Un grupo más pequeño y con alojamiento en la UE: EventPics (gestionado por una empresa austríaca, hosting en una región de la UE) y JoinMyMoment (subencargados UE/EEE en Alemania, Francia y AWS Frankfurt) son ejemplos que nombran explícitamente la residencia en la UE.
• Algunas herramientas no indican claramente dónde están los datos, y eso ya es una señal de riesgo para un equipo de compras: si un proveedor no puede decirte la jurisdicción de alojamiento, no puedes completar el análisis de transferencias.

La posición de Gathmo está diseñada para esta preocupación concreta: residencia de datos en la UE, almacenamiento de objetos en la jurisdicción UE, base de datos principal en Fráncfort, cómputo en UE y DPAs con sus procesadores. Para un equipo de RR. HH. o compras cuya pregunta base es «¿esto mantiene los datos de los empleados en Europa?», esa es una respuesta afirmativa que se puede presentar al área legal, y la residencia viene con prueba (centro de datos identificado, DPAs de procesadores), no solo con una etiqueta de marketing. Aun así, conviene ser preciso: varios proveedores dicen tener servidores europeos, por eso el diferenciador real son las pruebas verificables y una DPA firmada, no la simple afirmación de UE.

Tú eres el responsable: ¿dónde está el DPA de tu procesador?

Esta es la parte que la contratación no puede omitir. Cuando una herramienta externa procesa datos personales por tu cuenta y bajo tus instrucciones, la relación es de responsable a procesador, y el RGPD exige que esté regida por un contrato escrito vinculante — un Acuerdo de Tratamiento de Datos — según el artículo 28(3).

Ese contrato no es un documento estándar que se firme sin revisión. El artículo 28(3) exige que fije la materia, duración, naturaleza y finalidad del tratamiento, los tipos y categorías de datos y los derechos y obligaciones del responsable, y que imponga al encargado del tratamiento un conjunto concreto de obligaciones: procesar solo conforme a tus instrucciones documentadas, confidencialidad, medidas de seguridad del art. 32, condiciones para subencargados, asistencia con los derechos de los interesados, borrado o devolución de datos al finalizar el servicio y sujeta a auditorías.

En resumen: tu organización es el responsable; la herramienta de fotos es el encargado del tratamiento; y necesitas un DPA conforme al RGPD antes de que entren fotos de empleados. Un proveedor que no pueda aportar uno no es un proveedor que una empresa de la UE pueda usar. Qué revisar en un contrato de encargo de tratamiento para event tech repasa las cláusulas que de verdad importan.

Al evaluar, esta es la pregunta de mayor valor único:

• ¿Puedes aportar una DPA del Artículo 28 del RGPD? (Si la respuesta es “¿qué es eso?”, para ahí.)
• ¿Darán los nombres de sus subencargados y su ubicación?
• ¿Se compromete a eliminar o devolver nuestros datos al final del encargo?

Gathmo ofrece una DPA — disponible bajo petición en los planes por evento, e incluida en Studio, Agency y Enterprise B2B. El contraste a señalar a tu equipo legal: en este mercado, una DPA dedicada y descargable y una lista publicada de subprocesadores son la excepción y no la norma; muchas herramientas enfocadas al consumidor no ofrecen una. Una checklist de RGPD para fotografía de eventos corporativos convierte todo esto en algo que un organizador puede recorrer.

Una breve aclaración sobre el propio código QR

Si recoges fotos mediante un código escaneable en tiras, tarjetas de mesa o señalética de escenario, hay especificaciones prácticas para que siga siendo usable — y la página de carga también es el lugar correcto para incluir el aviso de información del Art. 13. En lanyards y acreditaciones, mantenlo de al menos 2 x 2 cm (2,5 x 2,5 cm es más cómodo a brazo extendido); en una pancarta de escenario vista desde lejos, mucho más grande. Mantén el margen silencioso, usa código oscuro sobre fondo claro y haz siempre una impresión de prueba y escaneo real a tamaño real antes de imprimir cientos. Un código que no se puede escanear no solo pierde fotos: envía a los asistentes frustrados a otro sitio, fuera de vuestro aviso de consentimiento.