La falsa informalidad
La cena de Navidad corporativa representa, desde una óptica jurídica, uno de los escenarios más complejos para el compliance en materia de privacidad. Existe una disonancia cognitiva evidente: los asistentes perciben el evento como un acto social privado, distendido y ajeno a la rigidez laboral, mientras que, jurídicamente, sigue siendo un entorno profesional donde operan plenamente las garantías de los derechos fundamentales.
El conflicto surge cuando la captación de imágenes —antes limitada al recuerdo personal— se cruza con la capacidad de difusión masiva de las redes sociales y los departamentos de marketing. ¿Puede la empresa publicar la foto del brindis en LinkedIn? ¿Puede un empleado subir a Instagram una «story» donde aparece un compañero en actitud desinhibida? La respuesta corta es no; la respuesta rigurosa exige desgranar la normativa de protección de datos y el derecho al honor.
Marco normativo
El análisis debe pivotar sobre dos ejes legislativos concurrentes en el ordenamiento español: el Reglamento General de Protección de Datos (RGPD) en el ámbito administrativo sancionador, y la Ley Orgánica 1/1982 de protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen.1
La imagen de una persona identificada o identificable constituye, sin género de duda, un dato de carácter personal (art. 4.1 RGPD). Por ende, cualquier operación de captación, conservación o difusión constituye un «tratamiento» sujeto a los principios de licitud del artículo 5 del mismo cuerpo legal.
Aquí reside el error doctrinal más común: asumir que la relación laboral otorga a la empresa una suerte de «derecho de uso» sobre la imagen del empleado. Nada más lejos de la realidad. El contrato de trabajo legitima el tratamiento de datos necesarios para la ejecución de la relación laboral (nóminas, control horario), pero la asistencia a una cena lúdica y la posterior difusión de imágenes no es una prestación laboral esencial. Por tanto, la base jurídica del «interés legítimo» (art. 6.1.f RGPD) decae frente a los derechos fundamentales del interesado, y la «ejecución del contrato» (art. 6.1.b RGPD) resulta inaplicable para fines promocionales o lúdicos -aunque sean organizados por la empresa-.
Nos queda, ineludiblemente, el consentimiento (art. 6.1.a RGPD). Y no cualquier consentimiento, sino uno que, conforme al artículo 7 del RGPD, debe ser libre, específico, informado e inequívoco.
Interpretación jurisprudencial y doctrina de la AEPD
La Agencia Española de Protección de Datos (AEPD) y la Sala de lo Social del Tribunal Supremo han sido tajantes al desmantelar las prácticas habituales de las empresas en este ámbito.
La nulidad del «Consentimiento Genérico» en el Ccntrato
Es práctica habitual incluir en el contrato de trabajo una cláusula genérica donde el empleado cede sus derechos de imagen para «actividades corporativas». La jurisprudencia reciente advierte que el consentimiento otorgado en el seno de una relación laboral está viciado de origen por el desequilibrio de poder entre las partes. Para que la publicación de las fotos de la cena sea lícita, se requiere un consentimiento específico, separado y revocable para ese acto concreto. No sirve la firma estampada el día de la contratación hace cinco años.
La responsabilidad «horizontal» (empleado a empleado)
El riesgo no es solo corporativo. Si bien el RGPD contempla la «excepción doméstica» (art. 2.2.c) para actividades exclusivamente personales, la AEPD ha matizado que esta excepción se rompe cuando las imágenes se publican en redes sociales abiertas (perfiles públicos de Instagram o X).
Si un empleado sube una foto de un compañero en una situación comprometida (o simplemente no deseada) y especialmente si lo etiqueta, podría estar incurriendo en una infracción administrativa sancionable por la AEPD y, paralelamente, en una intromisión ilegítima en el derecho a la propia imagen (art. 7.5 LO 1/1982), susceptible de indemnización civil. La sentencia del Tribunal Constitucional 27/2020 refuerza esta tesis al señalar que el hecho de que una persona tenga perfil en redes sociales no implica un consentimiento tácito para que terceros dispongan de su imagen.
El Régimen Sancionador
La AEPD no titubea en este ámbito. Existen precedentes recientes, como sanciones de entre 3.000 y 6.000 euros a pymes y despachos profesionales por publicar fotos de empleados en la web corporativa sin acreditar un consentimiento expreso y afirmativo. La mera falta de oposición del empleado no equivale a consentimiento.
Conclusión práctica: protocolo de Seguridad Jurídica
Para mitigar riesgos y evitar sanciones que pueden alcanzar el 4% de la facturación anual (aunque típicamente se mueven en los rangos citados para infracciones leves/graves), la organización debe adoptar una postura proactiva:
- Segregación de espacios y roles: Si la empresa desea material gráfico para su branding, debe contratar a un fotógrafo oficial y habilitar una zona específica (p.ej., un photocall). La acción de posar en esa zona, previo aviso informativo visible (cartelería de «Zona de Captación de Imagen»), constituye una acción afirmativa clara de consentimiento.
- Política de «Cero Etiquetas»: La empresa debe abstenerse de etiquetar a empleados en redes sociales salvo autorización expresa por escrito. Asimismo, se es muy recomendable instruir a los empleados (recordatorio de compliance previo al evento) sobre la responsabilidad individual de subir fotos de terceros sin permiso.
- Derecho de Revocación Inmediata: Debe existir un canal ágil (email a RRHH o DPO) para que cualquier empleado pueda solicitar la retirada inmediata de una imagen donde aparezca, derecho que debe ejecutarse sin dilación indebida para evitar la escalada a una denuncia ante la AEPD.
