El tratamiento de imágenes bajo el RGPD
Una fotografía en la que aparece una persona identificable constituye un dato personal en el sentido del artículo 4.1 del RGPD. Capturar esa imagen, almacenarla, distribuirla o publicarla son operaciones de tratamiento que requieren una base jurídica.
La Ley Orgánica 1/1982, de 5 de mayo, sobre protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen, completa el marco en el ordenamiento español. Su artículo 7.5 considera intromisión ilegítima la captación, reproducción o publicación de la imagen de una persona en lugares o momentos de su vida privada o fuera de ellos.
Fotografías en actos vecinales
Actos en espacios públicos del barrio
Cuando la asociación organiza un evento en un espacio público —fiestas de barrio, mercadillo, jornada de limpieza— y las personas fotografiadas son visibles desde la vía pública, la base jurídica suele ser el interés legítimo (artículo 6.1.f del RGPD), siempre que el tratamiento sea proporcional. Las imágenes pueden usarse para documentar el evento, pero no para finalidades distintas, como campañas comerciales o cesión a terceros.
Si las imágenes van a publicarse en la web de la asociación o en redes sociales, es aconsejable informar previamente a los asistentes mediante un cartel visible en el lugar del evento.
Actos en espacios cerrados (asambleas, reuniones de junta)
En espacios privados la situación es diferente. Las personas asistentes a una asamblea no han aceptado implícitamente ser fotografiadas solo por estar presentes. La práctica recomendada es informar al inicio de la reunión de que se van a tomar imágenes y solicitar la conformidad de los presentes, o bien restringir las fotografías a planos generales que no permitan identificar a personas concretas.
Criterio de la AEPD: La publicación de fotografías de particulares en redes sociales o en páginas web sin su consentimiento puede constituir una infracción del RGPD, especialmente cuando las imágenes revelan datos que permitan vincular a una persona con una creencia política, religiosa u otra categoría especialmente protegida.
Grupos de mensajería (WhatsApp, Telegram y similares)
El uso de grupos de mensajería instantánea para coordinar actividades de la asociación es habitual, pero plantea varias cuestiones de privacidad que conviene tener en cuenta:
Visibilidad del número de teléfono
En la mayoría de las aplicaciones de mensajería, los miembros de un grupo pueden ver el número de teléfono de los demás participantes (salvo configuraciones de privacidad específicas de cada usuario). Antes de agregar a un vecino a un grupo, la asociación debe informarle de esta circunstancia. La incorporación a un grupo sin previo aviso no cumple el deber de transparencia del artículo 5.1.a del RGPD.
Difusión de documentos con datos personales
Compartir por mensajería un acta, un presupuesto o una lista de deudores que incluya nombres y datos identificativos de vecinos concretos equivale a comunicar datos personales a todos los miembros del grupo. Esta práctica puede carecer de base jurídica si no existe una necesidad específica que la justifique. Para comunicar asuntos que afecten solo a una persona, lo más adecuado es el contacto directo y no la difusión al grupo completo.
Administrador del grupo y responsabilidad
El administrador del grupo no asume automáticamente la condición de responsable del tratamiento de todos los datos que circulan por él, según la interpretación habitual de la normativa para grupos de uso privado. Sin embargo, cuando el grupo está creado y administrado por la asociación con fines asociativos, la situación se aproxima a un tratamiento organizativo, y la asociación debe ser más cuidadosa con los contenidos que difunde a través de él.
Publicación de datos de vecinos en tablones y webs
La publicación del nombre de un vecino —por ejemplo, en la lista de morosos del tablón de anuncios— es una práctica que la AEPD ha considerado desproporcionada en diversas resoluciones sancionadoras. La difusión de datos de deudores a todos los vecinos va más allá de lo necesario para gestionar el cobro de cuotas y puede vulnerar la privacidad del afectado.
Cuando la asociación necesita comunicar a sus socios información que involucra datos personales de vecinos concretos, debe valorar si es posible hacerlo con el mínimo de datos identificativos necesario.
Videovigilancia en zonas comunes
Las comunidades de propietarios —que en algunos aspectos son equiparables a las asociaciones vecinales— tienen una regulación específica para las cámaras de vigilancia en zonas comunes. Las imágenes captadas por sistemas de videovigilancia son datos personales si permiten identificar a personas. La instalación de cámaras requiere informar a las personas que puedan ser grabadas mediante el cartel normalizado de la AEPD, y las imágenes no deben conservarse más de 30 días salvo que sean necesarias para acreditar hechos ante la autoridad competente.