En este artículo
Tu chef flambea un plato, alguien lo graba para Instagram, y al fondo hay una mesa que nunca eligió estar ahí. Ese plano no es una cuestión de marketing — es una cuestión legal, y la mayoría de los locales nunca la responde.
Cada restaurante se filma hoy a sí mismo: el servicio de apertura, la carta nueva, el ambiente de un viernes lleno. Eso es exactamente lo que funciona en Instagram y TikTok — pero una sala nunca está vacía mientras filmas, y cada clip lleva clientes a los que nadie preguntó si querían estar ahí.
Otros dos artículos de este blog ya tocan temas relacionados: cómo recopilar datos de clientes (nombre, correo, historial de reservas) cumpliendo el RGPD, y cómo usar cámaras de videovigilancia en caja dentro de las reglas. Ambos tratan de datos que TÚ registras para TU propio negocio. Este artículo trata algo distinto: la imagen de un cliente, captada para compartirla con el exterior.
Esa imagen está doblemente protegida. Según el RGPD, un rostro reconocible es un dato personal, sin más — tengas cinco seguidores o cinco mil. Y aparte de eso, casi cada país de la UE tiene su propio "derecho a la propia imagen": en Francia el droit à l'image, en Alemania el Recht am eigenen Bild con su propio texto legal (la Kunsturhebergesetz), y en Bélgica y los Países Bajos una variante construida por jurisprudencia del mismo principio.
La buena noticia: las reglas son predecibles en cuanto las recorres en el orden correcto. Este artículo las presenta como una escalera — de "sin problema" a "no publicar" — más un test que te dice en diez segundos dónde está una foto concreta en esa escalera.
Por qué esto es más que una cuestión teórica
En España, la AEPD sancionó a un gimnasio con 21.000 euros por grabar clases y publicarlas en redes sociales sin consentimiento válido, y a una segunda cadena de gimnasios hasta con 36.000 euros (reducidos a 15.000 por pago anticipado) por la misma práctica. El regulador determinó expresamente que "grábate o vete" no es un consentimiento libremente otorgado — exactamente el mecanismo que reproduce un restaurante cuando le dice a una mesa "esta noche grabamos contenido, actuad con naturalidad".
Ese es el fondo del problema: un restaurante que graba contenido repite exactamente el mismo error, solo que con clientes en lugar de socios de gimnasio. Y el daño rara vez es la multa en sí — es el cliente que se queja públicamente, el tiempo que cuesta una reclamación, y el hecho de que una solicitud de retirada ignorada escala hasta una denuncia ante el regulador, mientras que una solicitud resuelta en un día no cuesta nada.
Así que no es una cuestión de "qué pasa si algún día hay una inspección" — es una cuestión de lo que ya produce un jueves cualquiera en cuanto entra una cámara. Seis reglas deciden si eso sale bien.
La guía definitiva Tecnología para Restaurantes: 6 Pasos de 7 Herramientas a 1 Sistema De los datos de clientes a las cámaras y la política de contenidos: todo lo que tus sistemas deben resolver por ti, en una sola guía. Abrir la guíaLas seis reglas, en el orden en que la ley las aplica
Cada regla se apoya en la anterior. En cuanto una respuesta es "no", ya no necesitas subir el resto de la escalera — ya sabes suficiente.
1. Ser reconocible ya es suficiente — una cara en una foto es un dato personal
El RGPD define un dato personal como cualquier información que permita identificar a una persona, directa o indirectamente (art. 4(1)). Una cara es el ejemplo más obvio que existe. En cuanto alguien es reconocible en una foto — no centrado, no nítido, simplemente reconocible — estás tratando un dato personal en cuanto publicas esa foto. Eso vale igual para tu propia cuenta de Instagram que para una base de datos de clientes.
Esto no tiene nada que ver con cuántos seguidores tengas o lo "pequeña" que sea la publicación. El RGPD no distingue entre una cuenta comercial con doce seguidores y un influencer con un millón. La pregunta nunca es "¿es esto lo bastante grande como para importar?", sino "¿es reconocible esta persona?".
Lo que sí cuenta: irreconocible es irreconocible. Una espalda, un fondo borroso, una cara fuera de plano — eso no es un dato personal, y todo este artículo deja de aplicarse. La manera más sencilla de eliminar un riesgo sigue siendo girar la cámara unos centímetros.
2. Lo accesorio a menudo no necesita consentimiento — la persona principal, siempre
No todo cliente reconocible es un problema. Alemania lo tiene escrito explícitamente en la ley: la Kunsturhebergesetz (KUG) exige en principio consentimiento (§22), pero establece una excepción para las personas que aparecen solo de forma accesoria junto a un lugar o una escena (§23 apdo. 1 n.º 2) — la llamada regla del "Beiwerk". Piensa en una mesa que aparece por casualidad al fondo mientras filmas el interior, no en un cliente que es el verdadero sujeto de la toma.
Esa excepción es más estrecha de lo que parece, y no se aplica igual en todas partes. Incluso en Alemania desaparece en cuanto la publicación perjudica un interés legítimo de la persona representada (§23 apdo. 2 KUG) — un cliente sorprendido en una situación comprometida nunca es "accesorio", por breve que sea su aparición. Y países como Francia aplican un criterio más estricto, donde incluso una presencia reconocible accesoria se trata antes como un problema.
La regla práctica, en todas partes: cuanto más central y nítida esté una persona en la toma, más fuerte es la obligación de pedir permiso. Una prueba que aplican casi todos los países es sencilla: ¿diría un espectador medio que la foto trata de esa persona, o del lugar? En caso de duda: pregunta.
Cada foto está en algún punto de esta escalera. Cuanto más arriba, más tienes que resolver antes de publicar.
La escalera sigue las reglas 1 a 3 anteriores: reconocibilidad, la línea accesorio/sujeto principal y el tipo de consentimiento.
3. El consentimiento para la foto de la mesa no es consentimiento para publicarla
Supón que sí preguntas — "¿puedo sacar una foto rápida de vuestra mesa?" — y los clientes asienten. Eso es consentimiento para la foto en sí, no para lo que hagas con ella. La CNIL, la autoridad francesa de protección de datos, es explícita al respecto: el consentimiento debe ser específico para el uso previsto, y un acuerdo para una foto que compartes en privado con la propia mesa no equivale automáticamente a un acuerdo para publicar esa misma foto en el Instagram público del restaurante.
Eso es también exactamente lo que el RGPD entiende por "consentimiento libre, específico e informado" (art. 4(11), art. 7). "Específico" es la palabra que se saltan la mayoría de los locales: hay que decir DÓNDE acabará la foto — tu cuenta de Instagram, tu web, un folleto — para que el consentimiento sea válido para ese uso.
En la práctica, esto cuesta una frase más de las que dice hoy la mayoría de los locales: no "¿puedo hacer una foto?", sino "¿puedo hacer una foto para nuestro Instagram?". Eso no cuesta nada, y es la diferencia entre un consentimiento válido y una foto en terreno inestable.
4. El personal en la foto es un expediente distinto al de los clientes
Un empleado que aparece en el contenido está bajo una base jurídica distinta a la de un cliente: la relación laboral. Eso no hace innecesario el consentimiento — un trabajador también debe poder negarse libremente, sin consecuencias para su puesto, y "libremente" es precisamente donde suele fallar, porque un trabajador que se siente presionado por el jefe no da un consentimiento libre en el sentido del RGPD.
Lo práctico es que un empleado puede resolver esto una sola vez mediante una política interna o una cláusula del contrato de trabajo, en lugar de preguntar de nuevo cada turno. Para un cliente esa vía no existe — está ahí solo por una noche, así que el consentimiento hay que pedirlo cada vez de nuevo.
En resumen: resuelve el asunto del personal por separado — una política escrita clara que cada empleado firma al incorporarse, con una posibilidad real de negarse — y trata a cada cliente como un caso nuevo. Dos expedientes, dos procesos.
5. Lo que añade tu país — de "simplemente pregunta" a la prueba escrita
El RGPD se aplica igual en toda la UE, pero el derecho a la propia imagen que se superpone varía según el país, y eso determina cuánto peso tienes que dar a la prueba. Alemania tiene la excepción del Beiwerk de arriba, con un texto legal al que remitirse. Francia funciona con el droit à l'image, donde la CNIL recomienda expresamente pedir consentimiento por escrito antes de publicar — un "sí" verbal es una prueba más débil ante un juez francés que en otros sitios.
Bélgica y los Países Bajos se apoyan en el mismo principio de fondo — el derecho a la propia imagen, en parte anclado en el derecho de autor — pero sin la excepción explícita alemana del Beiwerk: la ponderación se hace más caso por caso, mediante jurisprudencia en lugar de un texto fijo.
¿Operas en varios países, o publicas contenido que puede verse en varios (lo cual, en Instagram, es cierto por definición)? Parte entonces del régimen más estricto que pueda aplicarte, no del más permisivo. Suele ser Francia: pregunta de forma específica, pregunta por escrito cuando puedas, y estarás cubierto en todas partes.
6. Una negativa nunca debe ser una publicación perdida — construye el proceso
El problema real rara vez es la primera pregunta — es lo que ocurre cuando alguien se niega, o pide después que se retire una foto. El RGPD le da al cliente un derecho concreto y exigible para eso (art. 17, derecho de supresión) y un plazo concreto para responder: en principio dentro de un mes desde la solicitud (art. 12(3)), prorrogable dos meses más en casos complejos o numerosos — siempre que informes al cliente dentro de ese primer mes.
Incorpóralo como un proceso fijo, no como una excepción: quién en el equipo puede editar o retirar una publicación, con qué rapidez (la respuesta más rápida no cuesta literalmente nada — recortar o difuminar lleva un minuto), y dónde lo registras para poder demostrar que respondiste dentro del plazo.
Una negativa te "cuesta" entonces como mucho una foto de cada diez. Una solicitud ignorada te cuesta la queja, el tiempo de respuesta y, en el peor de los casos, como muestran los casos españoles anteriores, una multa totalmente desproporcionada respecto a lo que habría costado simplemente preguntar.
La misma solicitud de un cliente, dos caminos muy distintos.
El plazo de un mes procede del art. 12(3) RGPD — ver regla 6.
Test: ¿es segura esta foto para publicar?
Las seis reglas anteriores se traducen en una única decisión por foto: publicar, ajustar, o preguntar primero. El test de abajo hace esa traducción por ti — cuatro preguntas, respuesta instantánea.
¿Ya has recibido una solicitud de retirada? El contador de abajo calcula cuánto tiempo queda del plazo legal del art. 12(3) RGPD.
Cuatro preguntas, una respuesta
Responde a las cuatro preguntas para la foto que quieres publicar.
—
—
Basado en el art. 12(3) RGPD: en principio un mes (calculado aquí como 30 días), prorrogable dos meses más en casos complejos o numerosos — siempre que informes al cliente dentro del primer mes.
Ningún test sustituye a un abogado en un caso realmente límite — esto te da la dirección, no la última palabra. Ante dudas sobre una situación concreta y sensible (un menor, un momento médico, una discusión familiar que apareció por casualidad en el plano): pregunta siempre, diga lo que diga el test.
Lo que el test sí hace: responder en unos segundos a nueve de cada diez noches normales — una sala animada, buen ambiente, una mesa contenta — para que el equipo no tenga que adivinar cada vez.
Qué haces esta semana, este mes y este trimestre
Nadie consigue implantar seis reglas a la vez. Este orden sí funciona, porque cada paso facilita el siguiente.
Esta semana — pon el proceso por escrito
- Escribe una frase que el equipo diga antes de cada grabación de contenido: "vamos a grabar unas imágenes para Instagram, ¿os parece bien?".
- Asigna a una persona para gestionar una solicitud de retirada, y acordad un plazo de respuesta — no "cuando tenga tiempo".
- Guarda el test de este artículo como marcador en el teléfono que usa el equipo para grabar contenido.
Este mes — resuelve el tema del personal
- Haz que cada empleado firme una breve política: aparecer en cámara o no, y cómo lo indica.
- Revisa tus últimas diez publicaciones de Instagram: ¿hay algún cliente reconocible sin que recuerdes si preguntaste?
- Crea una carpeta o chat fijo donde el equipo pueda anotar de inmediato una solicitud de "retira esto" — no un mensaje directo suelto que se pierde.
Este trimestre — construye la prueba
- A partir de ahora, pide consentimiento por escrito (un breve mensaje de confirmación basta) en cada sesión con un sujeto principal claro.
- Revisa tu calendario de contenidos: planifica "momentos de contenido" fijos en lugar de filmar clientes al azar — eso facilita preguntar con antelación.
- Compara estas seis reglas con tu política de datos de clientes y de cámaras, para acabar con una política de privacidad coherente en lugar de tres separadas.
Una foto, seis preguntas, se acabó adivinar
Grabar contenido para Instagram forma parte del oficio hoy en día, y no tiene por qué ser un riesgo. El riesgo no está en grabar — está en adivinar.
Reconocible o no. Sujeto principal o accesorio. Consentimiento, y para qué exactamente. Privado o público. Cuatro preguntas, en ese orden, y la mayoría de las noches quedan respondidas en diez segundos.
Y si alguna vez sale mal: responde rápido a una solicitud de retirada. Esa es la diferencia entre una foto que simplemente ajustas y una queja que cuesta semanas.