Por Diego Fierro Rodríguez
I. El vídeo que puso una foto donde no debía
Todo empezó con una de esas miniaturas que pugnan a codazos por un clic en YouTube. Un youtuber —de esos que se ganan la vida subiendo vídeos de entretenimiento a la plataforma— preparó un contenido sobre la negativa de un juzgado a reconocer un cambio de identidad sexual. Para ilustrarlo, tomó una fotografía de la persona afectada, le estampó un rótulo y una flecha, y la dejó como reclamo visible para sus 156.000 suscriptores. El vídeo corrió, sumó 1.500 «me gusta» y probablemente generó unos cuantos euros en publicidad. Lo que no generó fue una petición de permiso a la protagonista de la imagen, que ni siquiera sabía de dónde había sacado el youtuber aquella foto. Rosa —llamémosla así— denunció los hechos, y la Agencia Española de Protección de Datos ha terminado imponiendo una multa de 500 euros que, aunque pueda parecer calderilla, encierra una doctrina que conviene no perder de vista.
La resolución de la AEPD, fechada en mayo de 2026, es de esas que se leen con una sonrisa de satisfacción profesional: sin estridencias, sin cifras mareantes, pero con una claridad que desmonta de un plumazo la creencia, tan extendida como errónea, de que lo que flota en internet es de todos y de nadie a la vez. La imagen de una persona, recuerda la Agencia, es un dato personal de los gordos, de los que el Reglamento General de Protección de Datos protege con celo. Y usarla sin permiso, aunque sea para aderezar un vídeo de YouTube, sale caro. O, al menos, lo bastante como para pensárselo dos veces.
II. De la IP al domicilio: la falsa impunidad del anonimato digital
Lo más instructivo del caso es, quizá, el camino que siguió la investigación. Rosa no sabía quién se escondía tras el canal. Solo tenía una denuncia y una URL. La AEPD se movió con la paciencia del que sabe que en internet todo deja rastro. Pidió información a Google, a Telefónica y a Orange. Quería atar la dirección IP desde la que se había subido el vídeo a un nombre, un domicilio, una identidad. Orange, al final, fue la pieza que encajó: la IP apuntaba directamente a la casa y al titular del canal. El anonimato que durante meses protegió al youtuber se desvaneció en cuanto la Agencia tiró del hilo correcto.
Notificado varias veces, el creador de contenido optó por el silencio. No presentó alegaciones, no intentó justificar el uso de la imagen, no movió un dedo. Quizá pensó que el asunto se diluiría en la burocracia. Se equivocó. La AEPD, harta de esperar, transformó el acuerdo de inicio directamente en propuesta de resolución. Y de ahí a la multa solo medió lo que tarda en redactarse un acto administrativo. La falta de colaboración no le salió gratis; simplemente le privó de la oportunidad de explicar sus razones y, acaso, de arañar alguna atenuante.
III. Ni consentimiento, ni interés legítimo, ni nada
La Agencia revisó el catálogo de bases jurídicas que el artículo 6 del Reglamento General de Protección de Datos ofrece para legitimar un tratamiento de datos personales. El consentimiento de la afectada no existía. No se trataba de cumplir un contrato ni una obligación legal. Quedaba la carta del interés legítimo, ese comodín que tantas empresas y particulares intentan jugar cuando ya no les queda otro recurso. Pero para que el interés legítimo prospere, hay que hacer una ponderación fina entre lo que el responsable del tratamiento pretende y lo que el titular de los datos tiene derecho a salvaguardar. Y la AEPD, con buen criterio, entendió que el interés del youtuber en hacer más atractiva su miniatura no pasaba por delante de los derechos fundamentales de Rosa.
No es una cuestión menor. La fotografía estaba en internet, sí, pero de ahí a creer que cualquiera puede agarrarla y servirla en bandeja a su audiencia hay un trecho que el Reglamento no consiente. La Agencia ya ha tenido ocasión de pronunciarse en otras ocasiones sobre el mismo equívoco: el hecho de que una imagen sea accesible al público no significa que quien la publicó haya renunciado a su protección, ni que un tercero pueda usarla como le plazca. La disponibilidad no es consentimiento, y la cultura digital —esa inercia de dar por supuesto que lo que está en la red es de todos— no es una eximente. Es, precisamente, el vicio que el Reglamento aspira a corregir.
Y luego está el detalle del contexto. El vídeo no era un reportaje periodístico que necesitara la imagen para informar. Era un comentario, una opinión, un entretenimiento. Para eso no hace falta exhibir el rostro de la persona sobre la que se opina, y menos aún adornado con rótulos y flechas que más parecen un señalamiento que una ilustración. La AEPD no se metió en si la información era veraz o no —no era su papel—, sino en si era lícito tratar aquella imagen como se trató. Y concluyó que no.
IV. Quinientos euros y un mes para borrar
La multa de 500 euros es, en el escalafón de las sanciones que puede imponer la AEPD —hasta veinte millones de euros o el cuatro por ciento del volumen de negocio—, una propina. Pero la Agencia no quería escarmentar a base de talonario, sino poner las cosas en su sitio. La sanción se fijó atendiendo a la naturaleza y el alcance de la infracción, a la ausencia de intencionalidad acreditada y a la falta de antecedentes. Y, sobre todo, se acompañó de una medida correctiva que vale más que todos los ceros del mundo: el youtuber tiene un mes para acreditar que ha retirado definitivamente la imagen de la URL del vídeo. Si no lo hace, se expone a un nuevo procedimiento por infracción muy grave, y ahí la broma puede salir bastante más cara.
Aquí la Agencia demuestra que no va de farol. No le interesa tanto cobrar los quinientos euros como asegurarse de que la imagen desaparezca. Porque, en el fondo, de lo que se trata es de restaurar el control de Rosa sobre su propio rostro digital. Que es, a la postre, la razón de ser de todo el edificio de la protección de datos.
V. Un aviso para navegantes del clickbait
El caso es un jarro de agua fría sobre la cultura del clickbait, esa estrategia tan extendida de atraer visitas a base de titulares sensacionalistas, caras conocidas y reclamos visuales que muchas veces se toman prestados sin preguntar. Internet está lleno de miniaturas con rostros de personas que jamás autorizaron su uso, y muchos creadores operan bajo la creencia de que si la imagen está en Google Imágenes, es de todos, y si el vídeo es de opinión, la foto es un mero adorno. Pero el Reglamento no tiene una excepción para el clickbait, ni un salvoconducto para el algoritmo de YouTube.
La lección es simple, pero conviene repetirla: la imagen de una persona, aunque esté publicada en internet, aunque se use para comentar una noticia y aunque el creador no persiga un beneficio económico directo, está protegida. Utilizarla sin consentimiento y sin una base jurídica alternativa es ilícito. Y el responsable del tratamiento, por muchos suscriptores que tenga, debe atenerse a las consecuencias. Quinientos euros pueden no ser gran cosa para un canal con 156.000 seguidores, pero el susto, la incomodidad y la obligación de borrar la imagen tienen un valor pedagógico que ninguna multa puede cuantificar.
VI. Conclusiones sobre la imagen como dato y la red como espacio regulado
La resolución de la AEPD contra el youtuber que utilizó la imagen de Rosa sin su consentimiento es, en el fondo, una declaración de principios sobre la naturaleza de internet. La red no es un espacio sin ley, ni un vertedero de datos donde cualquiera puede servirse de lo que encuentra sin preguntar a nadie.
Es un territorio sometido a las mismas reglas que el mundo físico, aunque los instrumentos para hacerlas cumplir sean distintos y la percepción de impunidad sea mayor. La imagen de una persona es un dato personal, y quien lo trata sin base jurídica se expone a una sanción. No importa cuántos seguidores tenga, ni cuántos «me gusta» acumule.
El derecho, como la Agencia ha recordado con esta multa, también viaja por fibra óptica. Y aunque a veces tarde en llegar, termina por alcanzar su destino. Esta vez, el destino era un canal de YouTube. Y la lección, aunque barata, ha quedado grabada en el expediente. Y en la jurisprudencia menor de la protección de datos, que es donde se libran, en realidad, las grandes batallas de la privacidad.