En el ámbito del marketing y la gestión empresarial, existe una práctica peligrosa: asumir que una fotografía, una vez cedida, pasa a ser propiedad de la empresa para cualquier uso futuro. Esta creencia es errónea con cualquier dato personal, pero cuando involucra la imagen de un menor, las consecuencias legales y reputacionales se multiplican.
Una reciente resolución de la Agencia Española de Protección de Datos (AEPD), finalizada en septiembre de 2025, ha sancionado a una óptica por vulnerar el artículo 6 del RGPD, según recoge el portal jurídico Confilegal. El caso es un manual perfecto de lo que no se debe hacer al gestionar el consentimiento.
Los hechos: De una web en 2021 a una revista en 2024
El caso involucra a una empleada de la empresa oftalmológica que, en la Cuaresma de 2021, autorizó el uso de una foto de su hija menor de edad. Sin embargo, este consentimiento tenía dos límites muy claros:
- Finalidad: Portada de la página web.
- Temporalidad: Un periodo concreto (Cuaresma).
El problema surgió tres años después. En febrero de 2024, cuando la madre ya no trabajaba en la empresa, descubrió que la imagen de su hija se estaba utilizando de forma masiva: aparecía en diversas redes sociales y, lo que es más grave, en una revista impresa con una tirada de 68.000 ejemplares.
El error de la empresa: El «Consentimiento Tácito» no existe en el RGPD
La defensa de la empresa ante la AEPD se basó en argumentos que la normativa actual ya no tolera. Alegaron que existía un consentimiento «tácito» y que este «jamás había sido revocado».
Aquí es donde, como expertos en Dataiberica, debemos ser tajantes: El consentimiento bajo el RGPD debe ser libre, específico, informado e inequívoco. No se puede asumir que el silencio o la falta de queja de los padres equivale a un «sí» perpetuo para usar la foto de un niño en campañas futuras.
La AEPD fue clara: la empresa no pudo aportar el documento que acreditase que los padres autorizaron el uso de la imagen para redes sociales o revistas en papel en 2024. Sin prueba documental (Principio de Responsabilidad Proactiva), no hay licitud en el tratamiento.
La negligencia en la retirada: Decir que se borra no es suficiente
Quizás el aspecto más preocupante de este caso no es el error inicial, sino la gestión posterior. En diciembre de 2024, la empresa aseguró a la AEPD que, tras la queja de la madre, había retirado las imágenes de «todos los medios».
Sin embargo, la Agencia comprobó en agosto de 2025 —ocho meses después de la supuesta retirada— que la fotografía de la menor seguía publicada en las redes sociales de la óptica.
Esto demuestra una falta total de control sobre los activos digitales de la empresa. No basta con tener la intención de borrar; hay que ejecutar la supresión de manera efectiva. Mantener datos de menores publicados contra la voluntad de sus tutores y mintiendo (u omitiendo la verdad por negligencia) al regulador es una vía rápida hacia la sanción.
Lecciones clave para tu empresa
De esta sanción de 1.500 euros (reducida a 900 por pronto pago y reconocimiento de culpa), extraemos tres reglas de oro para el tratamiento de datos de menores:
- El consentimiento no es un cheque en blanco: Si te autorizan a usar una foto para la web en 2021, no puedes usarla para Instagram en 2024. Cada nueva finalidad requiere un nuevo consentimiento.
- La carga de la prueba es tuya: Si no tienes el papel o el registro digital donde los padres marcan la casilla aceptando específicamente esos usos, legalmente ese consentimiento no existe. El consentimiento «tácito» o verbal es papel mojado ante una inspección.
- Auditoría de redes sociales: Las empresas suelen olvidar qué publicaron hace años. Si recibes una solicitud de supresión o revocación de consentimiento, debes tener la capacidad técnica de localizar y eliminar esa imagen de todas tus plataformas inmediatamente.
Conclusión
Tratar datos de menores requiere una diligencia reforzada. La imagen de un niño no es un recurso de stock que la empresa pueda reciclar a su antojo. Los plazos de prescripción del consentimiento están ligados a la finalidad para la que se dio: si la campaña terminó, el permiso también.
En Dataiberica, recomendamos revisar periódicamente todos los consentimientos de imagen almacenados, especialmente si tienen más de dos años de antigüedad o involucran a menores. Evita riesgos innecesarios y asegura que tu publicidad cumpla con la legalidad vigente.
¿Tu empresa utiliza imágenes de empleados o sus hijos en redes sociales? Contacta con nosotros para revisar tus protocolos de consentimiento.
