Política de privacidad para fotógrafos: qué tiene que decir

No son lo mismo y cumplen normas diferentes. La política de privacidad responde al RGPD y explica qué haces con los datos personales. El aviso legal responde al artículo 10 de la LSSI y publica quién está detrás de la web: nombre o razón social, NIF, domicilio y una forma de contacto directa. La política de cookies deriva del artículo 22.2 de la LSSI y solo habla de lo que tu web instala en el navegador de quien la visita.

Mezclarlos en un único texto es el atajo más común y el que peor envejece. Cuando cambias de herramienta de analítica tocas la de cookies; cuando cambias de plataforma de galerías tocas la de privacidad; el aviso legal no se mueve casi nunca. Tres páginas separadas se mantienen; un documento de cinco mil palabras no lo actualiza nadie.

El artículo 12 del RGPD añade una exigencia de forma que se ignora mucho: la información se da en lenguaje claro y sencillo, así que una política que el cliente no entiende incumple aunque tenga todos los apartados. El artículo 11 de la LOPDGDD permite informar por capas: un resumen breve en el formulario con enlace al texto completo.

Cuando recoges los datos directamente de la persona —el formulario de contacto, el contrato— el artículo 13 fija la lista exacta de información que tienes que darle en ese momento. Es la columna vertebral de tu política, y cada apartado se escribe en concreto, no en abstracto.

Hay dos apartados que casi todas las plantillas resuelven mal. El primero es el plazo de conservación: el RGPD pide un plazo o, si no es posible, los criterios para determinarlo, así que "el tiempo necesario" a secas no informa de nada. El segundo es el interés legítimo: si te apoyas en él, tienes que decir cuál es ese interés, no limitarte a citar la letra f) del artículo 6.1.

Si los datos no vienen de la persona sino de un tercero, la lista aplicable es la del artículo 14, que añade de qué fuente proceden. En una boda pasa constantemente: la pareja te da los teléfonos de los padres, del organizador o de la finca.

Aquí es donde una política genérica se cae. Describe cada tratamiento con su finalidad y su base, y no los juntes en un párrafo común. La pareja que te contrata se trata sobre la base de la ejecución del contrato: fotografiar el evento, editar, entregar la galería y facturar. No necesitas su consentimiento para nada de eso, y decir que sí lo necesitas confunde al cliente y te complica la vida cuando alguien quiere revocarlo.

Los invitados son el grupo que más se olvida. Salen en las fotos, no han firmado nada contigo y sus imágenes son datos personales. Lo honesto es decirlo: que tratas su imagen en el marco del encargo de la pareja, que la galería es privada y no indexable por buscadores, y a quién escriben si no quieren aparecer. Si además ofreces búsqueda de fotos por cara, esa función trata datos biométricos, que son categoría especial del artículo 9 del RGPD y exigen consentimiento explícito de la persona: merece su propio apartado, con qué se hace, dónde se procesa y cuándo se borra.

Quedan dos tratamientos que casi nadie escribe. El del formulario de contacto: quien te pide presupuesto deja nombre, email, teléfono, fecha y lugar de la boda, y eso vive en tu gestión de clientes aunque no reserve nunca; di cuánto tiempo conservas esa consulta. Y el de tu portfolio, que no forma parte del encargo: publicar la boda en tu web o en redes se apoya en una autorización de imagen voluntaria y revocable, amparada además por la Ley Orgánica 1/1982.

La plataforma donde alojas las galerías, tu correo, tu copia de seguridad en la nube, la pasarela de pagos y la herramienta con la que envías archivos pesados tratan datos personales por cuenta tuya. Técnicamente son encargados de tratamiento y el artículo 28 del RGPD exige que haya un contrato de encargo con cada uno: normalmente es el anexo de protección de datos que el proveedor publica y que aceptas al contratar.

Tienes que informar de los destinatarios, y puedes hacerlo por categorías. Lo que mejor funciona es una lista corta y mantenida: proveedor, para qué sirve y dónde trata los datos. Es el apartado que más credibilidad da, porque demuestra que sabes por dónde pasan las fotos de una boda.

Si alguno de esos proveedores trata datos fuera del Espacio Económico Europeo, dilo y explica con qué garantía: decisión de adecuación o cláusulas contractuales tipo, que es el mecanismo de los artículos 44 y siguientes. Y ten presente el artículo 30: el registro de actividades de tratamiento no es tu política de privacidad, es un documento interno que no se publica, y la exención para pequeñas empresas decae en cuanto el tratamiento no es ocasional o incluye categorías especiales.

El primero es copiar la de otro estudio sin tocarla: nombra sus proveedores, sus plazos y a veces hasta su NIF, así que publicas información falsa con tu firma. El segundo es pedir consentimiento para todo, incluido lo que ya cubre el contrato: cuando el cliente lo retira, te quedas sin base para algo que nunca dependió de él.

El tercero es el plazo eterno. "Conservaremos sus datos indefinidamente" choca de frente con el principio de limitación del plazo de conservación del artículo 5.1.e). Distingue: el contrato y las facturas se guardan por obligación legal, mientras que la galería online tiene la fecha de caducidad que tú anuncias, y ambas cosas se escriben con su plazo propio.

El cuarto es dejarla congelada: cambias de plataforma, activas una función nueva y la política sigue describiendo el flujo de hace dos años. Ponle fecha de última actualización visible y revísala cuando cambies de herramienta, no cuando te lo reclamen.

Una política que solo vive en el pie de tu web informa a quien la busca, no a quien te da los datos. El enlace va en el momento exacto de la recogida: junto al botón de enviar del formulario, con una casilla sin premarcar y una frase corta que diga quién trata los datos y para qué. Esa es la primera capa del artículo 11 de la LOPDGDD.

Repite el enlace en el contrato, donde la autorización de imagen para portfolio y redes conviene que sea una casilla aparte que la pareja pueda dejar sin marcar. Y añádelo en la galería de entrega: es el único sitio donde los invitados pueden enterarse de algo.

En Revea esa parte sale montada: cada galería es privada, queda fuera de los buscadores, admite contraseña, lleva enlaces distintos para la pareja y para los invitados y tiene la fecha de caducidad que tú decides, así que el plazo que escribes se cumple solo. La medición de visitas y descargas trabaja con las direcciones IP anonimizadas mediante hash y sin cookies de terceros; la búsqueda por cara se activa galería a galería con casilla de consentimiento, no guarda el selfie, procesa en región europea y borra el índice de caras al expirar. Nuestra política de permanencia y borrado está publicada en revea.es/permanencia.