Imagen generada con IA.
Un robo en un estudio fotográfico puede parecer, a primera vista, un problema exclusivamente patrimonial: material perdido, un seguro que tramitar, clientes a los que dar explicaciones. Pero cuando ese material contiene fotografías y vídeos de personas identificables —como ocurre en cualquier reportaje de boda—, el robo se convierte también en una brecha de seguridad de datos personales. Así lo ha entendido la Agencia Española de Protección de Datos (AEPD) en el expediente nº EXP202516047, que ha terminado con un apercibimiento a una fotógrafa freelance tras sustraerle un disco duro con el material de 27 bodas, entre ellas la de la clienta que presentó la denuncia. El caso es una advertencia directa para cualquier fotógrafo, videógrafo o autónomo que trabaje con imágenes de terceros sin unas mínimas medidas de seguridad.
El robo que dejó a 27 parejas sin sus fotos de boda
Claudia contrató a Elena, fotógrafa freelance, para cubrir su boda con un reportaje fotográfico completo. Días después del evento, Elena llevó a su estudio una mochila con varios dispositivos de trabajo: disco duro externo, memoria USB y ordenador portátil, donde guardaba el material de esa boda y de otras 26 celebraciones más pendientes de edición y entrega.
La fotógrafa dejó momentáneamente la mochila en la parte delantera del local mientras accedía a la trastienda. En ese breve lapso, alguien entró y se llevó los dispositivos. El estudio no contaba con cámaras de videovigilancia ni con un sistema efectivo de control de acceso, y la propia fotógrafa reconoció que la alarma estaba desactivada en el momento del robo, precisamente porque ella misma se encontraba dentro del local.
Las consecuencias fueron inmediatas: Elena tuvo que comunicar a Claudia y a las otras 26 parejas afectadas que el material fotográfico de sus bodas había desaparecido. Al no disponer de ninguna copia de seguridad externa, la pérdida fue total e irreversible. A Claudia le devolvió el dinero abonado, pero eso no evitó que la clienta, al entender que se había producido una vulneración de sus datos personales, trasladara los hechos a la AEPD.
Por qué la AEPD interviene aunque no hubo filtración pública de las imágenes
Lo primero que llama la atención de este expediente es que la AEPD no reprocha a la fotógrafa una difusión indebida de las fotografías: nadie ha visto esas imágenes fuera del círculo previsto. El problema es distinto y, para muchos profesionales, menos intuitivo. La Agencia recuerda que Elena actuaba como responsable del tratamiento de esas imágenes en el sentido de los artículos 4.1 y 4.2 del RGPD, puesto que era ella quien decidía la recogida, el almacenamiento y la finalidad de las fotografías y grabaciones de las personas presentes en cada boda.
Bajo esa responsabilidad, la pérdida irreversible del material por robo se califica como una brecha de seguridad en su modalidad de «brecha de disponibilidad»: los datos personales —en este caso, imágenes de personas identificables— dejaron de estar accesibles y no pudieron recuperarse por ningún medio. El expediente subraya una idea que conviene interiorizar: no hace falta que un tercero acceda o difunda los datos para que exista infracción; basta con perder de forma permanente el control y el acceso a esa información.
El artículo 32 del RGPD: por qué la falta de copia de seguridad fue determinante
La resolución pone el foco en dos carencias concretas: la ausencia de medidas físicas de seguridad —alarma desactivada, sin cámaras, sin control de acceso al local— y, sobre todo, la falta de una copia de seguridad externa del material. El artículo 32.1.c) del RGPD exige expresamente contar con la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma ágil en caso de incidente físico o técnico.
En este caso, al no existir ningún respaldo, la pérdida fue definitiva: ninguna de las 27 bodas pudo recuperarse. La AEPD deja claro en su expediente que «no basta con alegar haber sido víctima de un robo»: el responsable del tratamiento debe poder acreditar que había implantado medidas de seguridad razonables y proporcionadas, ya sean copias de respaldo, cifrado de los dispositivos o controles físicos de acceso al lugar donde se almacenan los datos. La ausencia de todas ellas a la vez es lo que convierte un simple robo en una infracción del deber de seguridad del artículo 32 del RGPD.
Qué debe hacer cualquier fotógrafo o autónomo para evitar este error
Aunque el desenlace de este expediente ha sido un apercibimiento —una sanción leve en comparación con las multas económicas de otros casos—, el precedente es claro: cualquier profesional que trabaje con imágenes, vídeos o documentos de clientes está sujeto a las mismas obligaciones de seguridad que una gran empresa, aunque trabaje en solitario y sin estructura corporativa. Del expediente se extraen varias medidas prácticas que cualquier fotógrafo, videógrafo o autónomo debería aplicar:
- Copias de seguridad externas y automáticas. El material de cada encargo debería respaldarse, como mínimo, en un servicio de almacenamiento en la nube o en un segundo dispositivo físico guardado en una ubicación distinta al estudio.
- Cifrado de discos duros y dispositivos portátiles. Un disco duro cifrado es inútil para quien lo roba, lo que reduce drásticamente el riesgo de que la sustracción se convierta también en una filtración de datos.
- Control físico de acceso al lugar de trabajo. Alarmas activas, cámaras de vigilancia o simplemente no dejar equipos desatendidos en zonas accesibles al público son medidas básicas y de bajo coste.
- Política de retención y borrado del material entregado. Una vez entregado el encargo final al cliente, conservar copias adicionales solo durante el tiempo estrictamente necesario reduce la superficie de riesgo ante un incidente futuro.
- Documentar las medidas de seguridad adoptadas. Ante una eventual reclamación, poder acreditar por escrito qué medidas de seguridad existían —aunque fallaran— es la diferencia entre una sanción y una defensa sólida frente a la AEPD.
El caso de Elena demuestra que el RGPD no distingue entre grandes responsables del tratamiento y autónomos que facturan por proyecto: quien recoge y almacena imágenes de personas identificables asume el mismo deber de diligencia, con independencia del tamaño de su negocio. La lección final es sencilla pero incómoda: un robo se puede sufrir sin negligencia, pero perder para siempre el material de 27 familias por no tener una copia de seguridad sí es, para la AEPD, una falta evitable.
En Dataibérica ayudamos a autónomos y pequeños negocios —fotógrafos, estudios creativos y profesionales que trabajan con imágenes de clientes— a diseñar copias de seguridad, cifrado y controles de acceso que cumplan con el deber de seguridad del RGPD. Si quieres revisar tu caso, contacta con nosotros.
Fuente: Confilegal
