¿Cuánto tiempo se pueden conservar legalmente las fotos de una boda, de un evento de empresa o de una conferencia? La pregunta surge en cada evento, y la respuesta no es ni «para siempre» ni «el menor tiempo posible». El RGPD impone un principio claro (el plazo debe ser proporcionado a la finalidad), pero deja que cada responsable del tratamiento lo fije. Esta guía da referencias concretas, por tipo de evento, sin jerga jurídica innecesaria.
El principio de limitación del plazo de conservación del RGPD
El artículo 5.1.e del RGPD establece la regla llamada de «limitación del plazo de conservación»: los datos personales solo pueden conservarse durante el tiempo necesario para la finalidad para la que se recogieron. Una foto es un dato personal en cuanto aparece en ella una persona identificable: una cara reconocible, una matrícula, una acreditación con el nombre legible.
En la práctica, eso significa dos cosas. Primero, hay que definir de forma explícita la finalidad antes de la recogida: «recuerdo personal de los novios», «comunicación interna de la empresa», «promoción de la próxima edición de la conferencia». Después, hay que fijar un plazo coherente con esa finalidad y cumplirlo. Conservar indefinidamente «por si acaso» es una infracción.
La CNIL, la autoridad francesa de protección de datos, distingue tres fases en el ciclo de vida de un dato: el periodo de uso activo (el dato sirve a la finalidad en el día a día), el periodo de archivo intermedio (el dato se conserva para cumplir una obligación legal o contractual, pero ya no se consulta libremente) y la supresión definitiva. Para las fotos de eventos, el archivo intermedio rara vez está justificado: lo normal es estar o en uso activo o en supresión.
El buen reflejo: preguntarte cada seis meses «¿por qué guardo estas fotos seis meses más?» y aceptar eliminarlas en cuanto ya no haya un motivo documentado.
Plazos recomendados por caso de uso
No existe un plazo legal único para las fotos de eventos. Pero la práctica, contrastada con las recomendaciones de la CNIL, permite fijar horquillas razonables según el contexto.
Fotos de boda (largo plazo, base jurídica adaptada a la pareja)
En una boda, la finalidad es eminentemente personal: conservar el recuerdo de un momento único. La base jurídica más sólida suele ser el contrato (entre la pareja y el fotógrafo) o el interés legítimo de la pareja cuando gestiona ella misma la galería.
En la práctica, estos plazos son defendibles:
- Galería compartida con los invitados: de 6 a 18 meses después de la boda, el tiempo necesario para que cada uno recupere sus fotos. Más allá, la finalidad de compartir se ha extinguido.
- Archivo personal de los novios: sin límite explícito, mientras los novios lo deseen. Son sus propios datos y su propia finalidad.
- Copia de seguridad en manos del fotógrafo profesional: generalmente de 1 a 5 años según el contrato, para permitir nuevas copias impresas o ampliaciones del álbum.
El punto delicado son los invitados que aparecen en las fotos. Si piden que se retire una imagen en la que aparecen (derecho de supresión, ver más abajo), el responsable de la galería debe hacerlo en un plazo razonable, aunque la pareja no esté de acuerdo. Aquí el derecho individual prevalece sobre el recuerdo colectivo.
Fotos de eventos de empresa y team building (de corto a medio plazo, de 1 a 3 años)
En un contexto profesional interno, la finalidad suele ser la comunicación interna o la de recursos humanos: boletines, intranet, manual de bienvenida para las nuevas incorporaciones, presentaciones a clientes. La CNIL considera que un plazo de 1 a 3 años es coherente con este tipo de uso.
Más allá de 3 años, las fotos pierden su pertinencia operativa: las caras han cambiado, las oficinas también, y el mensaje ya no funciona. Seguir conservándolas supone un riesgo sin contrapartida. Para un evento de empresa anual, una regla sencilla: se conservan las fotos hasta la edición N+2 y entonces se eliminan las de la edición N.
Centralizar las fotos de un evento de empresa en un mismo lugar, con una fecha de recogida registrada y un mecanismo de eliminación en bloque, simplifica enormemente la aplicación de esta regla. Compartirlas por WhatsApp o con memorias USB hace que el cumplimiento sea casi imposible: cada participante tiene su propia copia, fuera de todo control. El artículo Centralizar las fotos de un evento de empresa sin equipo informático detalla las opciones para organizar esa centralización de forma sencilla.
Un caso particular: quienes dejan la empresa conservan su derecho de supresión sobre las fotos en las que aparecen. El procedimiento de eliminación debe seguir siendo accesible incluso después de su marcha.
Fotos de conferencias abiertas al público (variable según la cesión de derechos)
En una conferencia abierta al público, la situación se complica. Conviven varias categorías: ponentes (a menudo con una cesión de derechos de imagen firmada), asistentes identificables (generalmente sobre la base del interés legítimo del organizador o del consentimiento), VIP e invitados sensibles (caso por caso).
Para los ponentes que han firmado una cesión explícita, el plazo puede ser largo: de 5 a 10 años es habitual para las grabaciones en vídeo de las ponencias y las galerías de archivo. Lo que manda es el contrato.
Para los asistentes que aparecen en planos generales, la horquilla habitual es de 2 a 5 años, el tiempo de promocionar las siguientes ediciones. Más allá, el interés legítimo se vuelve endeble y se impone la eliminación.
Para los invitados sensibles (menores, personalidades políticas, personas que han pedido explícitamente no ser fotografiadas), hay que poder identificar y retirar sus imágenes con rapidez. Es uno de los casos en los que el reconocimiento facial, utilizado para gestionar el derecho de supresión, puede paradójicamente facilitar el cumplimiento, ya que permite localizar todas las fotos de una misma persona en unos segundos.
Galerías de clientes de fotógrafos profesionales (de 1 a 5 años tras la entrega)
Para un fotógrafo profesional, la galería del cliente es un entregable contractual. El plazo de conservación suele fijarlo el propio contrato, y la horquilla clásica es de 1 a 5 años tras la entrega final, para permitir nuevas copias impresas, álbumes adicionales o cesiones de derechos puntuales.
Pasado ese periodo, el fotógrafo debe o bien pedir una renovación explícita del consentimiento, o bien eliminar los originales. Conservar «de por vida» los RAW de todos los antiguos clientes ya no es defendible desde la entrada en vigor del RGPD en 2018.
El artículo Reconocimiento facial y fotógrafos: cumplimiento del RGPD detalla las obligaciones específicas de los fotógrafos profesionales, en particular cuando usan una herramienta de clasificación por caras para entregar las galerías.
Un buen contrato con el cliente menciona de forma explícita el plazo de conservación, el procedimiento de eliminación al final de ese plazo y la posibilidad de que el cliente pida una copia de archivo antes de la eliminación.
El derecho de supresión en la práctica
El artículo 17 del RGPD otorga a toda persona identificable en una foto el derecho a pedir que se elimine, sin tener que motivar su solicitud en la mayoría de los casos. Es la obligación más operativa del reglamento, y la que más dificultades plantea en la práctica.
La solicitud puede llegar de varias formas: un correo electrónico, una carta, un mensaje en redes sociales, incluso una petición verbal durante el evento. El responsable del tratamiento dispone de un mes para responder (artículo 12.3 del RGPD), prorrogable otros dos meses si la solicitud es compleja.
Se plantean de inmediato tres preguntas operativas.
¿Quién recibe las solicitudes? Hay que publicar una dirección de correo electrónico específica (por ejemplo, rgpd@ejemplo.com) en la galería, en la invitación o en la página del evento. Sin un punto de contacto identificable, las solicitudes se pierden y el plazo de un mes salta por los aires.
¿Quién se encarga técnicamente de eliminar? ¿El organizador del evento, el fotógrafo, el servicio que aloja la galería? Esa función debe asignarse antes del evento, no el día que llega una solicitud. Si la herramienta para compartir permite eliminar foto a foto o por persona (mediante reconocimiento facial), la gestión es mucho más rápida.
¿Cómo comprobar que la eliminación es completa? Las fotos pueden haberse descargado, compartido por otros canales o incluido en soportes impresos. El responsable no está obligado a perseguir las copias fuera de su ámbito de control, pero debe poder demostrar que ha eliminado todas las copias bajo su control. Llevar un registro de eliminaciones (fecha, solicitante, fotos afectadas) es una buena práctica.
Para las organizaciones que gestionan muchos eventos, implantar un flujo de cumplimiento documentado, que incluya el derecho de supresión, ahorra muchísimo tiempo. La página Cumplimiento del RGPD de Evokly detalla las funciones integradas que automatizan parte de estas obligaciones.
La documentación que hay que preparar
El RGPD no se limita a los plazos: también obliga a documentar tus prácticas. Como mínimo, hay que preparar tres documentos y mantenerlos al día.
El registro de actividades de tratamiento (artículo 30 del RGPD). Obligatorio para las organizaciones de más de 250 empleados y muy recomendable por debajo de esa cifra, recoge todos los tratamientos de datos personales con su finalidad, su base jurídica, las categorías de personas afectadas y el plazo de conservación. Para un evento, basta una línea: «Fotos del evento de empresa 2026, finalidad: comunicación interna, plazo: 24 meses, base: interés legítimo, responsable: dirección de RR. HH.».
Los avisos en el momento del consentimiento o de la recogida. Cuando los participantes escanean un código QR para acceder a la galería compartida, un aviso breve debe indicarles quién recoge las fotos, con qué finalidad, cuánto tiempo se conservarán y cómo ejercer sus derechos. En la mayoría de los casos basta una frase de 2 líneas al pie de la página de la galería.
El plazo explícito en el contrato con el cliente (para fotógrafos y agencias). El contrato debe indicar el plazo de conservación de los archivos originales, el tiempo durante el que la galería de entrega está disponible y el procedimiento de eliminación al vencimiento. También es una protección para el proveedor: sin una cláusula explícita, es a él a quien le toca demostrar que ha cumplido el RGPD.
Estos documentos no tienen por qué ser largos. Tienen que estar al día y ser coherentes con lo que ocurre de verdad. Una política que anuncia «12 meses de conservación» pero cuyas fotos siguen en línea 3 años después es más peligrosa que no tener ninguna política.
Sanciones en caso de incumplimiento
Las sanciones del RGPD salen a menudo en los titulares, pero la realidad operativa tiene más matices. La CNIL privilegia ampliamente el requerimiento y el acompañamiento antes que la sanción económica, sobre todo con las organizaciones que actúan de buena fe.
El techo teórico de las sanciones es elevado: hasta 20 millones de euros o el 4 % del volumen de negocio anual mundial, optándose por la cuantía más alta (artículo 83 del RGPD). En la práctica, las sanciones efectivamente impuestas por la CNIL en materia de fotos de eventos y de conservación son más modestas, pero públicas, lo que genera un efecto en la reputación a menudo más doloroso que la multa.
En una decisión pública de 2023, la CNIL sancionó a una empresa del sector de la selección de personal por conservar durante más de 5 años fotos de candidatos sin una base jurídica actualizada y sin un procedimiento de supresión operativo. El importe (varias decenas de miles de euros) fue proporcionado, pero la comunicación que lo acompañó tuvo un impacto duradero en el ámbito de los recursos humanos.
En 2024, una decisión similar se dirigió contra una plataforma de eventos que no respondía a las solicitudes de supresión dentro de los plazos legales. El incumplimiento era tanto de procedimiento como de conservación: sin dirección de contacto específica, sin registro de solicitudes, sin prueba de ejecución. El mensaje de la CNIL es constante: no son los plazos en sí los que plantean problemas, sino la ausencia de un proceso documentado en torno a ellos.
Para la gran mayoría de los organizadores, el riesgo real no es una multa enorme, sino la reclamación de un participante descontento, tramitada públicamente por la autoridad de protección de datos (la AEPD en España, la CNIL en Francia). Eso basta para justificar la inversión en una política clara.
Preguntas frecuentes
¿Cuánto tiempo se pueden conservar las fotos de un evento profesional?
El plazo habitual es de 1 a 3 años para un evento de empresa o un evento interno, y de 2 a 5 años para una conferencia abierta al público. Más allá, la finalidad de comunicación se extingue y la conservación es difícil de justificar. El criterio legal no es un plazo fijo, sino la proporcionalidad con respecto a la finalidad documentada.
¿Hace falta el consentimiento por escrito de cada persona fotografiada?
No siempre. El consentimiento es una de las bases jurídicas posibles, pero el interés legítimo del organizador también puede bastar para las fotos de ambiente en un evento profesional. En cambio, es obligatorio un aviso informativo visible (un cartel a la entrada, una mención en la invitación), así como un procedimiento para ejercer el derecho de oposición o de supresión.
¿Qué hacer si alguien pide que se elimine su foto?
Tienes un mes para atender la solicitud (artículo 12 del RGPD), prorrogable hasta tres meses si es compleja. Identifica las fotos afectadas, elimínalas de todos los soportes bajo tu control y confirma por escrito al solicitante que se ha hecho. Guarda un registro de la eliminación para poder demostrar que la atendiste en caso de inspección.
¿El derecho de imagen y el RGPD son lo mismo?
No, son dos regímenes jurídicos distintos que se aplican en paralelo. El derecho de imagen pertenece al derecho civil (en Francia, el artículo 9 del Código Civil; en España, la Ley Orgánica 1/1982) y protege el uso de la imagen de una persona identificable. El RGPD es un reglamento europeo sobre datos personales. Una foto puede cumplir con el derecho de imagen (cesión firmada) e infringir el RGPD (plazo no documentado), y a la inversa.
¿Hay que declarar la recogida de fotos a la autoridad de protección de datos?
No, la declaración previa ante la autoridad de protección de datos (la AEPD en España, la CNIL en Francia) desapareció con la entrada en vigor del RGPD en 2018. En cambio, debes llevar un registro de actividades de tratamiento interno, disponible si te lo piden en una inspección. Para los tratamientos de alto riesgo (reconocimiento facial a gran escala, por ejemplo), puede exigirse una evaluación de impacto relativa a la protección de datos (EIPD).
¿Las fotos tomadas en un evento privado están sujetas al RGPD?
Si su uso es estrictamente personal y familiar (la excepción doméstica del artículo 2.2.c del RGPD), no. Un padre o una madre que fotografía un cumpleaños y se queda las fotos no está sujeto al RGPD. En cuanto hay un intercambio organizado con terceros (galería en línea, difusión en redes sociales, envío a un proveedor), el RGPD se aplica plenamente.
El cumplimiento del RGPD en las fotos de eventos no es ni un misterio ni algo imposible. Se basa en tres acciones concretas: definir un plazo coherente con la finalidad, documentar ese plazo en un registro sencillo y organizar el derecho de supresión en torno a un punto de contacto identificable. La mayoría de las herramientas modernas para eventos ya integran estas obligaciones por defecto.
Consulta los precios para ver los planes de Evokly que incluyen la galería compartida, la eliminación foto a foto y el flujo del derecho de supresión.
