El 78% de las pymes españolas tiene presencia activa en al menos una red social corporativa, según el Informe sobre el uso de las TIC en las empresas del INE. Sin embargo, menos del 15% ha revisado sus prácticas en redes sociales desde la perspectiva de la protección de datos. Publicar una foto del equipo, lanzar un sorteo en Instagram o recopilar mensajes directos de clientes son acciones cotidianas que, si no se gestionan correctamente, pueden terminar en una sanción de la AEPD. Aquí le explicamos qué es seguro y qué no.
Por Qué las Redes Sociales Son un Terreno Delicado
Cuando una empresa interactúa en redes sociales, trata datos personales constantemente: nombres de usuario, correos electrónicos recogidos en concursos, imágenes de empleados, mensajes privados con quejas de clientes, estadísticas de audiencia vinculadas a perfiles identificables. El RGPD no distingue entre el mundo offline y el online: si hay una persona física identificable detrás de un dato, ese dato está protegido.
La confusión más habitual es pensar que porque el usuario ha publicado algo públicamente, la empresa puede hacer lo que quiera con esa información. No es así.
Los Tres Escenarios de Mayor Riesgo
1. Concursos y Sorteos en Redes Sociales
Los concursos son una de las herramientas de captación más populares —y una de las más problemáticas desde el punto de vista del RGPD. Cuando la participación implica dejar un comentario, seguir la cuenta o proporcionar un correo electrónico, la empresa está recogiendo datos personales y necesita una base jurídica legítima para tratarlos.
El consentimiento es la base más habitual, pero debe ser libre, específico, informado e inequívoco. Esto significa que las bases del concurso deben incluir una cláusula de privacidad que explique: qué datos se recogen, con qué finalidad, quién es el responsable, durante cuánto tiempo se conservarán y cuáles son los derechos del participante. No vale una remisión genérica a "nuestra política de privacidad": la información debe estar accesible antes de participar.
2. Comentarios en Publicaciones
Aquí la situación es diferente. Cuando un usuario deja un comentario espontáneo en una publicación de la empresa, no hay recogida activa de datos por parte de la empresa: es el usuario quien decide publicar voluntariamente en un espacio público. La empresa no necesita base jurídica especial para que existan esos comentarios, aunque sí debe actuar con cuidado si los usa para otros fines (por ejemplo, para hacer capturas y reutilizarlos en campañas publicitarias).
3. Fotos de Empleados sin Consentimiento
Publicar imágenes de los trabajadores en el perfil corporativo —ya sea en una jornada de equipo, en la inauguración de un local o en una foto de ambiente— requiere el consentimiento expreso y previo de cada persona que aparezca identificada o identificable. La imagen de una persona es un dato personal (y, en ciertos contextos, puede considerarse dato biométrico). El contrato de trabajo no incluye automáticamente este consentimiento: debe obtenerse por separado, por escrito, especificando en qué canales y con qué finalidad se publicará la imagen.
Casos Reales: Sanciones por Prácticas en Redes Sociales
Expediente PS/00201/2021: 8.000 € por Concurso sin Política de Privacidad
La AEPD sancionó a una empresa del sector de la moda con 8.000 euros por organizar un concurso en Instagram que solicitaba el correo electrónico de los participantes para enviarles el resultado, sin proporcionar ninguna información sobre el tratamiento de esos datos. La empresa no tenía política de privacidad accesible, no informó de los derechos de los participantes y, además, utilizó los correos recopilados para enviar comunicaciones comerciales posteriores sin consentimiento específico para esa finalidad. La AEPD apreció una doble infracción: del deber de información (art. 13 RGPD) y del principio de limitación de la finalidad (art. 5 RGPD).
Expediente PS/00067/2022: 3.000 € por Publicar Foto de Empleado sin Consentimiento
Una empresa del sector hostelero publicó en su página de Facebook una fotografía de un evento de equipo en la que aparecía un empleado que posteriormente causó baja voluntaria. Tras el cese, el trabajador solicitó la retirada de la imagen, y la empresa tardó más de dos meses en eliminarla. La AEPD sancionó con 3.000 euros al no haber obtenido el consentimiento específico en el momento de la publicación y por no haber atendido el ejercicio del derecho de supresión en el plazo legalmente establecido (un mes).
Qué Hacer con los Mensajes Directos y los Datos de Seguidores
Los mensajes directos (DM) que los clientes envían a través de redes sociales pueden contener datos sensibles: quejas sobre productos, datos de pedidos, incluso información de salud. La empresa debe tratar esa información con las mismas garantías que cualquier otra comunicación. No debe trasladarla a terceros sin base legal, ni usarla para fines distintos al de atender la consulta.
Respecto a las estadísticas de audiencia que ofrecen las plataformas (Meta Business Suite, LinkedIn Analytics, etc.), la empresa actúa como corresponsable junto a la red social. Debe informar de ello en su política de privacidad.
Checklist para Empresas con Presencia en Redes Sociales
- Las bases de los concursos incluyen cláusula de privacidad con todos los requisitos del art. 13 RGPD
- Los datos recogidos en concursos solo se usan para la finalidad informada
- Dispongo de consentimiento escrito de cada empleado que aparezca en fotos corporativas
- Tengo un procedimiento para atender solicitudes de supresión de imágenes en menos de 30 días
- La política de privacidad de la web menciona el uso de estadísticas de redes sociales
- Los mensajes directos con datos de clientes se gestionan de forma segura y no se comparten sin base legal
- Los empleados que gestionan las redes sociales han recibido formación en protección de datos
- Las colaboraciones con influencers o usuarios que generan contenido con datos de terceros están revisadas legalmente
Las redes sociales son una oportunidad de negocio, pero también un foco de riesgo legal que muchas empresas valencianas no han evaluado. En nuestro despacho especializado en Protección de Datos Valencia ofrecemos una consulta gratuita para revisar sus perfiles corporativos, sus concursos y su política de privacidad digital. Rellene el formulario de contacto y le ayudamos a publicar con total seguridad jurídica.
Fuentes: Reglamento (UE) 2016/679 (RGPD), artículos 5, 6, 7 y 13; Resolución AEPD PS/00201/2021; Resolución AEPD PS/00067/2022; AEPD – Guía sobre el uso de las redes sociales (2022); INE – Encuesta sobre el uso de TIC y comercio electrónico en las empresas 2022-2023; Directrices 8/2020 del CEPD sobre redes sociales y corresponsabilidad.
¿Necesitas cumplir con el RGPD?
Habla con nuestros expertos en protección de datos en Valencia. Consulta gratuita y sin compromiso.