Con la expansión de las redes sociales y la facilidad para compartir en diferentes redes sociales todo tipo de contenido, ha aparecido desde hace unos años el fenómeno de los “influencers” que son aquéllas persona que han conseguido un gran número de seguidores o personas que están pendientes de sus publicaciones en diferentes redes sociales como Instagram, YouTube, tiktok, etc.

Se producen varias relaciones jurídicas a las que afectan tanto el RGPD, como la LOPDGDD y otras normas como la ley General de publicidad.

Por un lado, existe la relación de las redes sociales con el influencer. El influencer no deja de ser un usuario de la red social que por su especial relevancia en la misma obtiene una serie de beneficios como verse remunerado por el contenido que sube a la red social. Contenido que utiliza la red social para incluir espacios publicitarios o anuncios y vender los mismos a los anunciantes.

La relación surge bajo la premisa de que, si un influencer llega a un número muy elevado de personas, todas esas personas se convierten en potenciales compradores de los productos que se anuncien en el contenido del influencer, o por el mismo influencer.

En este sentido, la red social será responsable del tratamiento de los datos de sus usuarios y deberá cumplir con las obligaciones del RGPD con relación a la información, consentimiento, medidas de seguridad, etc. con especial atención al tratamiento de los datos de menores de edad que son usuarios muy numerosos en estas redes.

El influencer, será responsable del tratamiento de los datos de carácter personal que quedaron excluidos del ámbito doméstico, de acuerdo con el Dictamen 5/2019 sobre redes sociales en línea del Grupo de Trabajo el cual indicaba que en ocasiones puede no aplicar esta excepción doméstica debido al elevado número de contactos que tiene un usuario o que toda la información la publiquen en abierto por lo que puede ser indexada por motores de búsqueda y ser accesible para un indeterminado número de usuarios o se publican datos sensibles.

Además, para el Grupo de Trabajo existen otros casos en los que el usuario asume el rol de responsable de tratamiento “Si un usuario de SRS actúa en nombre de una empresa o de una asociación o utiliza el SRS principalmente como una plataforma con fines comerciales, políticos o sociales, la exención no se aplica”.

Esta doctrina también ha sido recogida en el Informe 0197/2013 de la AEPD que a mayor abundamiento cita los Fundamentos 46 y 47 de la Sentencia del Pleno del Tribunal de Justicia de las Comunidades Europeas de 6 noviembre 2003 (Sentencia Lindqvist) en la que se afirmaba:

“46 En cuanto a la excepción prevista en el segundo guion del artículo 3, apartado 2, de la Directiva 95/46, en el duodécimo considerando de esta última, relativo a dicha excepción, se citan como ejemplos de tratamiento de datos efectuado por una persona física en el ejercicio de actividades exclusivamente personales o domésticas la correspondencia y la llevanza de un repertorio de direcciones.

47 En consecuencia, esta excepción debe interpretarse en el sentido de que contempla únicamente las actividades que se inscriben en el marco de la vida privada o familiar de los particulares; evidentemente, no es éste el caso de un tratamiento de datos personales consistente en la difusión de dichos datos por Internet de modo que resulten accesibles a un grupo indeterminado de personas”.

Y Sentencia de la Audiencia Nacional de 15 de junio de 2006 que afirmaba: “Lo relevante para la sujeción al régimen de protección de datos no será por tanto que haya existido tratamiento, sino si dicho tratamiento se ha desarrollado en un ámbito o finalidad que no sea exclusivamente personal o doméstico. Qué ha de entenderse por «personal» o «doméstico» no resulta tarea fácil. En algunos casos porque lo personal y lo profesional aparece entremezclado. En este sentido el adverbio «exclusivamente» utilizado en el art. 2.2.a) apunta a que los ficheros mixtos, en los que se comparten datos personales y profesionales, quedarían incluidos en el ámbito de aplicación de la ley al no tener como finalidad exclusiva el uso personal. Tampoco hay que entender que el tratamiento se desarrolla en un ámbito exclusivamente personal cuando es realizado por un único individuo. Por ejercicio de una actividad personal no debe entenderse ejercicio de una actividad individual. No deja de ser personal aquella actividad de tratamiento de datos que aún siendo desarrollada por varias personas físicas su finalidad no trasciende de su esfera más íntima o familiar, como la elaboración de un fichero por varios miembros de una familia a los efectos de poder cursar invitaciones de boda. Y un tratamiento de datos personales realizado por un solo individuo con finalidad profesional, mercantil o industrial estará claramente incluido en el ámbito de aplicación de la ley 15/1999. Será personal cuando los datos tratados afecten a la esfera más íntima de la persona, a sus relaciones familiares y de amistad y que la finalidad del tratamiento no sea otra que surtir efectos en esos ámbitos”.

Además, deberá tener en cuenta las obligaciones de la ley General de Publicidad, la Ley de Servicios de la Sociedad de la Información y el Código de Conducta sobre el Uso de Influencers en la Publicidad, desarrollado por Autocontrol que entrará en vigor el 1 de enero de 2021.

Francisco Ramón González-Calero Manzanares

Lead Advisor en Govertis